Hacker nutzten KI-Assistenten Cursor für Angriffe auf Unternehmensnetzwerke

Eine Untersuchung zeigt, wie die Erpressergruppe Aur0ra Cursor zur Ausnutzung bereits kompromittierter Unternehmensnetzwerke einsetzte.

Gambit Security konnte nach eigenen Angaben 28 offen einsehbare Chatsitzungen sowie weitere Infrastruktur der Gruppe auswerten und erhielt dadurch unmittelbaren Einblick in die tatsächliche Nutzung des KI-Agenten während realer Angriffe. Die Hacker setzten dabei einen mit Anthropics Modell Claude Sonnet 4.5 im sogenannten Denkmodus betriebenen Cursor-Agenten ein, dem sie zunächst bereits erbeutete Zugangsdaten oder einen ersten Zugang zum jeweiligen Zielnetzwerk übergaben, bevor sie ihm reguläre Ausnutzungsaufgaben zuwiesen.

Dazu zählten interne Netzwerkscans, das Auflisten vorhandener Berechtigungen, Angriffe auf Zugangsdaten, NTLM-Relay-Versuche sowie zertifikatsbasierte Angriffe. Bei manchen Aufgaben gaben die Angreifer dem Agenten konkrete Werkzeuge oder Techniken vor, bei anderen erhielt er lediglich ein Ziel und volle Freiheit bei der Wahl des Vorgehens. Schlug ein Befehl fehl, passte Cursor diesen eigenständig an oder schlug alternative, auf die jeweilige Zielumgebung zugeschnittene Vorgehensweisen vor, teils sogar in Form nummerierter Auswahllisten, aus denen die Angreifer lediglich eine Option auswählen mussten.

In einem ersten dokumentierten Angriffsstrang setzten die Hacker eine Linux-Variante ihrer eigenen Ransomware gezielt gegen VMware-ESXi-Umgebungen ein. Ein zweiter, mit mittlerer Zuversicht ebenfalls Aur0ra zugeordneter Angriffsstrang richtete sich gegen acht Organisationen in Israel, Deutschland, Österreich, Spanien, den USA und Argentinien und nutzte eine selbst betriebene, S3-kompatible Speicherinfrastruktur zur Datenexfiltration. Reuters identifizierte dabei unabhängig mehrere Betroffene, darunter den belgischen Reinigungsmittelhersteller Christeyns, den deutschen Torhersteller Teckentrup, die schottische Helideck Certification Agency sowie das Unternehmen Bayou Title aus Louisiana. Auf der eigenen Darknet-Leak-Seite von Aur0ra finden sich aktuell 31 gelistete Opfer, darunter auch größere internationale Unternehmen wie Sumitomo Electric Bordnetze, Corporación Primax sowie ALS Global.

Ablehnungen durch bloße Behauptung eines Tests umgangen

Nach Angaben von Gambit lehnte Cursor einzelne Anfragen zunächst tatsächlich als potenziell bösartig oder illegal ab. Diese Schutzmechanismen ließen sich jedoch vergleichsweise leicht umgehen: Eyal Sela, Director of Threat Intelligence bei Gambit, erklärte gegenüber Reuters, die Hacker hätten Ablehnungen fast immer umgangen, indem sie betonten, es handle sich um einen Test. Max Gannon, Cyber Intelligence Team Manager beim Sicherheitsunternehmen Cofense, ordnete den Trick gegenüber Cybernews so ein: Die Angreifer hätten dem Agenten einfach gesagt, der Hack sei ein Test, woraufhin dieser sich diese Darstellung selbst eingeredet und sogar angenommen habe, eine Testumgebung mache die Aktivität rechtlich zulässig. Gannon bezeichnete dies als Erinnerung daran, dass gegen bösartige Schlüsselwörter oder Anfragen gerichtete Schutzmechanismen durch eine überzeugend wirkende Rahmenerzählung weiterhin ausgehebelt werden können.

Ausdrücklich untersagten die Angreifer dem Agenten dabei bestimmte, besonders riskante Aktionen wie DCSync-Angriffe, das Sperren von Nutzerzugangsdaten oder das Anlegen neuer Computerobjekte innerhalb kompromittierter Domänen. Nach Einschätzung von Sela beschleunigte der Einsatz von Cursor die eigentlichen Angriffe um rund 30 bis 50 Prozent, da den Angreifern dadurch ein erheblicher Teil der sonst manuell notwendigen Arbeitsschritte abgenommen wurde.

Cursor mittlerweile Teil von SpaceX

Cursor wurde ursprünglich vom Start-up Anysphere entwickelt und lässt sich mit mehreren großen KI-Modellen betreiben, darunter Claude, GPT, Gemini und Grok. Am 14. August wurde das Unternehmen offiziell von Elon Musks Raumfahrtunternehmen SpaceX übernommen, die hier beschriebenen Angriffe selbst fanden bereits vor dieser Übernahme statt. Gambit betont, das tatsächliche Ausmaß der Rolle von Cursor bei jedem einzelnen der beobachteten Einbrüche lasse sich abschließend nicht mit letzter Sicherheit feststellen.

(red)