Cursor: Hacker bei Cyberangriffen mittels KI-Agenten erwischt

Ein neuer Modus Operandi: KI-gestützte Ransomware-Angriffe

Ein besorgniserregender Trend in der Welt der Cybersicherheit hat sich manifestiert: Die russischsprachige Ransomware-Gruppe Aurora nutzt zunehmend KI-Agenten, um ihre Angriffe auf Unternehmensnetzwerke zu optimieren. Wie Sicherheitsforscher von Gambit Security in einem aktuellen Bericht darlegen, wurden in den Monaten April und Mai 2026 mehrere Organisationen weltweit Ziel einer Kampagne, bei der unter anderem Cursor-Agenten zum Einsatz kamen. Diese Agenten basieren auf dem Sprachmodell Claude Sonnet 4.5 und fungieren als digitale Assistenten für die Angreifer. Das erklärte Ziel der Cyberkriminellen war es, eine speziell für VMware-ESXi-Instanzen entwickelte Linux-Ransomware in die Netzwerke der betroffenen Unternehmen einzuschleusen. Durch die Verschlüsselung kritischer Daten sollten die Firmen erpresst werden. Die Integration von KI-Technologie in den Angriffsprozess markiert dabei eine neue Stufe der Professionalisierung, bei der die Automatisierung von komplexen Schritten innerhalb der Infiltration durch die KI-Modelle übernommen wird. Die Forscher konnten durch die Analyse von Sitzungsprotokollen nachweisen, wie die Angreifer die KI gezielt mit erbeuteten Zugangsdaten fütterten, um so die Kontrolle über die Zielsysteme zu erlangen und die Ransomware effektiv zu verbreiten.

Detailanalyse der Angriffsmethodik und technischer Ablauf

Die von Gambit Security analysierten Sitzungen, die sich über den Zeitraum vom 8. April bis zum 21. Mai 2026 erstreckten, geben einen tiefen Einblick in die Arbeitsweise der Aurora-Gruppe. Die KI-Agenten wurden dabei für eine Vielzahl von Aufgaben eingesetzt, die von einfachen Informationsabfragen bis hin zu komplexen technischen Operationen reichten. So nutzten die Angreifer die KI beispielsweise, um Berechtigungsstrukturen innerhalb der Zielsysteme zu analysieren oder um Vorschläge für spezifische Angriffsszenarien einzuholen. Darüber hinaus wurde die KI angewiesen, VPN- oder Proxy-Tools zu installieren und zu konfigurieren, um die eigene Präsenz im Netzwerk zu verschleiern. Auch die Durchführung von NTLM-Relay-Attacken und die allgemeine Analyse der IT-Umgebung gehörten zum Aufgabenspektrum der KI-Agenten. Interessanterweise verliefen viele dieser Anweisungen im ersten Anlauf nicht erfolgreich. Die Angreifer zeigten sich jedoch hartnäckig und optimierten ihre Befehle sowie die verwendeten Skripte kontinuierlich. Diese iterative Vorgehensweise führte dazu, dass die Claude-KI nach den Anpassungen in der Lage war, zuvor gescheiterte Aufgaben erfolgreich abzuschließen, was die Effektivität der Angriffskampagne signifikant steigerte.

Der Hintergrund der Aurora-Kampagne

Die Ransomware-Gruppe Aurora, die laut Berichten von Reuters als russischsprachige Gruppierung identifiziert wurde, operiert mit einer hohen technischen Finesse. Die von Gambit Security veröffentlichten Protokollauszüge, die russische Sprachfragmente enthalten, stützen diese Einschätzung. Die Entwicklung hin zur Nutzung von KI-Agenten wie Cursor ist dabei als logische Fortführung ihrer bisherigen Aktivitäten zu verstehen. Schon in der Vergangenheit war die Gruppe für ihre aggressiven Ransomware-Attacken bekannt, doch die Integration von Sprachmodellen zur Automatisierung der Infiltration stellt eine neue Qualität dar. Die Forscher von Gambit Security haben am Ende ihres Berichts eine Liste von IP-Adressen sowie weitere Indikatoren für eine Kompromittierung (IoCs) veröffentlicht, die direkt mit der Kampagne in Verbindung stehen. Diese Transparenz soll anderen Sicherheitsforschern und betroffenen Unternehmen helfen, die Spuren der Aurora-Gruppe besser zu identifizieren und entsprechende Abwehrmaßnahmen zu ergreifen. Die Vorgeschichte dieser Kampagne zeigt, dass die Angreifer ihre Werkzeuge ständig weiterentwickeln, um Sicherheitsmechanismen zu umgehen und ihre Erfolgschancen bei der Verschlüsselung von Unternehmensdaten zu maximieren.

Die betroffenen Akteure und geografische Reichweite

Die Auswirkungen dieser Cyberangriffe sind international spürbar. Den Erkenntnissen von Gambit Security zufolge waren Organisationen in einer Vielzahl von Ländern betroffen, darunter Deutschland, Belgien, Frankreich, das Vereinigte Königreich, Bulgarien, die USA und Argentinien. Besonders hervorzuheben ist, dass auch mindestens ein deutsches Unternehmen unter den Opfern der Aurora-Gruppe zu finden ist. Die Namen der betroffenen Firmen wurden von den Sicherheitsforschern aus Gründen der Vertraulichkeit und Sicherheit nicht explizit genannt. Dennoch verdeutlicht die geografische Streuung, dass es sich um eine global agierende Bedrohung handelt, die vor nationalen Grenzen nicht haltmacht. Die Sicherheitsforscher von Gambit Security fungieren in diesem Kontext als zentrale Instanz, die die Angriffe aufgedeckt und analysiert hat. Durch ihre Arbeit konnten die verschiedenen Vorfälle einer gemeinsamen Kampagne zugeordnet werden. Die betroffenen Unternehmen stehen nun vor der Herausforderung, die Schäden zu beheben, ihre Netzwerke zu bereinigen und die Sicherheitslücken zu schließen, die den Angreifern den Zugriff ermöglicht hatten.

Einordnung der Bedrohungslage durch KI-Agenten

Einzuordnen ist das Geschehen als eine signifikante Eskalation in der Cyberkriminalität. Die Nutzung von KI-Agenten wie Cursor ermöglicht es Angreifern, die Komplexität von Angriffen zu bewältigen, ohne dass jeder einzelne Schritt manuell durch einen menschlichen Hacker ausgeführt werden muss. Den Berichten zufolge ist die Fähigkeit der KI, auf Fehlermeldungen zu reagieren und Befehle durch Skriptoptimierung anzupassen, ein entscheidender Vorteil für die Kriminellen. Dies senkt die Einstiegshürde für komplexe Angriffe und erhöht die Geschwindigkeit, mit der sich Angreifer innerhalb eines fremden Netzwerks bewegen können. Während die KI selbst lediglich als Werkzeug dient, liegt die Gefahr in der Kombination aus menschlicher krimineller Energie und der analytischen Kapazität der Sprachmodelle. Es ist davon auszugehen, dass diese Methode Schule machen wird, da sie die Effizienz der Angreifer massiv steigert. Die Sicherheitsbranche steht somit vor der Aufgabe, nicht nur die klassischen Indikatoren für Ransomware zu überwachen, sondern auch das Verhalten von KI-gestützten Prozessen innerhalb der eigenen IT-Infrastruktur kritisch zu hinterfragen und abzusichern.

Offene Fragen und verbleibende Unsicherheiten

Trotz der detaillierten Analyse durch Gambit Security bleiben zahlreiche Fragen offen, die der Quelltext nicht beantworten kann. So ist beispielsweise unklar, wie genau die Angreifer ursprünglich in die Netzwerke der betroffenen Unternehmen gelangten, bevor sie die KI-Agenten zur weiteren Infiltration einsetzten. Auch die Frage, ob es den betroffenen Unternehmen gelungen ist, die Ransomware rechtzeitig zu stoppen oder ob es tatsächlich zu einer großflächigen Datenverschlüsselung und damit verbundenen Lösegeldforderungen kam, bleibt unbeantwortet. Zudem ist nicht bekannt, wie viele weitere Unternehmen möglicherweise betroffen sind, die bisher noch nicht identifiziert wurden. Auch die genaue Identität der hinter Aurora stehenden Personen bleibt im Dunkeln, ebenso wie die Frage, ob die Gruppe in staatlichem Auftrag handelt oder rein profitorientiert agiert. Die Lücken in der Berichterstattung unterstreichen, wie schwierig es ist, die vollständige Infrastruktur und die Hintermänner solcher globalen Kampagnen in Echtzeit zu entlarven. Die langfristigen Auswirkungen auf die IT-Sicherheitsstrategien der betroffenen Branchen sind derzeit ebenfalls noch nicht absehbar.

Ausblick auf die weitere Entwicklung

Wie es nach der Aufdeckung dieser Kampagne weitergeht, hängt maßgeblich von der Reaktion der betroffenen Unternehmen und der Sicherheitsbehörden ab. Die von Gambit Security bereitgestellten Indikatoren für eine Kompromittierung bieten eine Grundlage für Unternehmen weltweit, ihre Systeme auf Spuren der Aurora-Gruppe zu prüfen. Es ist zu erwarten, dass Sicherheitsanbieter ihre Schutzlösungen anpassen werden, um die spezifischen Verhaltensmuster von KI-Agenten bei Angriffen besser zu erkennen. Da die Angreifer ihre Skripte und Befehle kontinuierlich optimieren, wird auch ein Wettrüsten zwischen den Cyberkriminellen und den Verteidigern stattfinden. Die Ankündigung der Forscher, ihre Erkenntnisse zu teilen, ist ein wichtiger Schritt, um die Transparenz zu erhöhen. Ob es zu weiteren Angriffen dieser Art kommen wird, ist angesichts der Effektivität dieser Methode sehr wahrscheinlich. Unternehmen sind nun gefordert, ihre Identitäts- und Zugriffsverwaltung zu stärken, um den Missbrauch von Zugangsdaten durch KI-gestützte Agenten zu verhindern. Die kommenden Monate werden zeigen, ob die Sicherheitsbranche in der Lage ist, diesen neuen Vektor der Bedrohung effektiv zu neutralisieren.