O ransomware Aurora ganhou uma nova dimensão operacional após pesquisadores identificarem o uso de inteligência artificial por seus operadores durante invasões. Em vez de limitar a IA à criação de código, os criminosos utilizaram o Cursor Agent, baseado no Claude Sonnet, para executar comandos, realizar reconhecimento da rede, testar ferramentas ofensivas e ajustar procedimentos quando as primeiras tentativas falhavam.
A descoberta, analisada pela CloudSEK e pela Gambit Security, mostra como agentes de programação podem ser incorporados diretamente ao fluxo de um ataque. O cenário envolve ferramentas como Nmap, NetExec, BloodHound e Certipy, além de componentes desenvolvidos em Zig para atingir sistemas Windows e ambientes Linux/VMware ESXi.
O caso é especialmente relevante para administradores de sistemas, equipes DevOps e profissionais de segurança porque combina automação baseada em IA, movimentação lateral e ransomware multiplataforma. Em ambientes virtualizados, o impacto pode ser ainda maior, já que o comprometimento de um único host ESXi pode interromper diversas máquinas virtuais simultaneamente.
Como o ransomware Aurora utiliza o Cursor como assistente de invasão
A investigação da Gambit Security revelou um dos aspectos mais incomuns da campanha: os operadores utilizaram o Cursor Agent para realizar tarefas diretamente relacionadas à invasão.
Entre abril e maio de 2026, pesquisadores identificaram sessões envolvendo organizações vítimas nas quais o agente recebeu instruções para executar tarefas de reconhecimento e exploração. Em alguns casos, os criminosos forneceram credenciais, informações sobre o ambiente ou acesso por túnel e deixaram a IA conduzir etapas técnicas da operação.
Isso representa uma diferença importante em relação ao uso convencional de inteligência artificial por criminosos.
Um chatbot utilizado apenas para escrever um script ainda exige que o atacante copie o código, execute a ferramenta, analise os resultados e decida o próximo passo. Com um agente conectado ao ambiente de execução, parte desse ciclo pode ser automatizada.
O operador pode fornecer uma tarefa e permitir que a IA execute comandos, observe as respostas e tente uma abordagem diferente quando algo não funciona.
Nmap, NetExec, BloodHound e Certipy entram na operação
Os pesquisadores observaram o uso de ferramentas conhecidas em operações de intrusão.
O Nmap foi utilizado para reconhecimento de rede, enquanto o NetExec ajudou na identificação e interação com sistemas Windows e recursos de domínio.
Já o BloodHound permite mapear relações de privilégio dentro de ambientes Active Directory. A ferramenta pode revelar caminhos que conectam uma conta comprometida a recursos de maior valor.
O Certipy, por sua vez, está associado à análise e exploração de ambientes de certificados do Active Directory, uma área que pode proporcionar caminhos para escalada de privilégios.
A combinação dessas ferramentas mostra que a IA não estava simplesmente produzindo código genérico. Ela era utilizada dentro de uma cadeia operacional de reconhecimento, exploração e movimentação lateral.
A IA também corrigia tentativas que falhavam
Um dos elementos mais interessantes do caso está na capacidade de iteração.
Comandos enviados pelo agente frequentemente não funcionavam na primeira tentativa. Em vez de interromper o processo, a IA analisava a resposta recebida, modificava parâmetros ou sugeria outra abordagem.
Algumas dessas tentativas foram bem-sucedidas.
Esse comportamento transforma o assistente em uma espécie de copiloto operacional para o invasor. A experiência do criminoso continua sendo importante, mas a IA pode reduzir o conhecimento necessário para lidar com erros, sintaxe, parâmetros e ferramentas diferentes.
Isso também explica por que o fenômeno merece atenção mesmo sem representar uma invasão totalmente autônoma.
Os operadores continuam definindo objetivos e fornecendo contexto. O diferencial está na capacidade de delegar à IA uma quantidade crescente de tarefas técnicas.
Ransomware Aurora combina IA com um criptografador escrito em Zig
Enquanto a inteligência artificial ajuda na operação do ataque, o próprio ransomware utiliza uma abordagem moderna para atingir diferentes plataformas.
A CloudSEK identificou variantes do criptografador compiladas em Zig, incluindo o arquivo sap.exe, destinado ao Windows, e o encrypt.out, utilizado contra Linux e ambientes VMware ESXi.
A utilização de uma base de código desenvolvida em Zig permite compartilhar componentes entre diferentes plataformas e gerar binários específicos para cada arquitetura e sistema operacional.
Essa característica é importante para operações de ransomware porque reduz a necessidade de manter implementações completamente independentes.
Em vez de criar um criptografador diferente para Windows e Linux, os operadores podem manter uma base comum e gerar builds direcionados aos ambientes que pretendem comprometer.
O código utiliza ChaCha20 para a criptografia dos arquivos e RSA-4096 para proteger as chaves utilizadas durante o processo. Também existem parâmetros que permitem controlar características como caminhos de arquivos, porcentagem dos dados criptografados, tamanho máximo e paralelismo.
Essa flexibilidade permite adaptar o comportamento do criptografador às características da infraestrutura atacada.
ESXi aparece como alvo prioritário
O componente Linux do ransomware Aurora apresenta funções específicas para atacar ambientes VMware ESXi.
Antes de iniciar a criptografia, o malware procura máquinas virtuais em execução e trabalha para interrompê-las. O objetivo é liberar arquivos que estejam sendo utilizados pelas VMs.
Depois disso, o criptografador pode atingir arquivos fundamentais para o funcionamento dessas máquinas virtuais, incluindo formatos como VMDK, VMX, VMSD, VMSN e NVRAM.
Essa estratégia produz um impacto significativo.
Um único host ESXi pode hospedar dezenas de máquinas virtuais. Ao atingir os arquivos que representam os discos e configurações dessas VMs, o criminoso consegue provocar uma interrupção muito maior do que obteria atacando apenas uma estação de trabalho.
O ransomware também modifica o banner de login SSH do ESXi para apresentar a mensagem de extorsão ao administrador.
Ferramenta personalizada ajuda a localizar servidores ESXi
Outro componente identificado na infraestrutura analisada é o esxi_finder.py, associado ao NetExec.
A ferramenta foi desenvolvida para localizar possíveis hosts ESXi e servidores vCenter dentro de redes comprometidas. Ela pode auxiliar os operadores a identificar sistemas VMware e coletar informações relevantes antes da etapa de criptografia.
Isso revela uma característica importante da campanha: o ransomware não é simplesmente executado contra todos os sistemas encontrados.
Existe uma preparação anterior para identificar ativos de alto valor, entender a infraestrutura e direcionar o ataque para os sistemas capazes de causar maior impacto operacional.
Engenharia social pode abrir caminho para o ataque
A cadeia de ataque também envolve técnicas conhecidas de engenharia social.
Chamadas falsas de suporte técnico e outros pretextos podem ser utilizados para convencer funcionários a fornecer informações, instalar ferramentas ou permitir algum tipo de acesso remoto.
Uma vez dentro do ambiente, os criminosos podem utilizar ferramentas de túnel e proxy para manter comunicação com a infraestrutura externa e trabalhar a partir da rede comprometida.
O uso do Xray-core aparece nesse contexto como componente relacionado ao estabelecimento de canais de comunicação e tunelamento.
Essa combinação é perigosa porque mistura um vetor humano com ferramentas legítimas ou amplamente conhecidas. O resultado pode dificultar a diferenciação entre uma atividade administrativa legítima e uma operação maliciosa.
Gryxa mostra como a IA pode acelerar a criação de malware
O Gryxa amplia a discussão sobre a utilização de inteligência artificial no desenvolvimento de ferramentas ofensivas.
É importante, porém, separar os casos: as pesquisas citadas não estabelecem que o Gryxa seja um componente criado ou operado pelo mesmo grupo responsável pelo Aurora. Ele é relevante porque demonstra uma tendência paralela de utilização de agentes de IA no desenvolvimento de ferramentas criminosas.
A ReliaQuest encontrou evidências de que um agente de programação comercial foi utilizado para auxiliar na criação do toolkit.
O projeto apresentava características que iam além da geração de código isolado. A IA auxiliava na implementação, documentação e correção de componentes durante o desenvolvimento.
Entre os recursos associados ao toolkit estavam mecanismos de persistência, coleta de informações armazenadas em navegadores baseados em Chromium e técnicas destinadas a dificultar a remoção do implante.
Também foram identificados mecanismos relacionados à tentativa de interferir em ferramentas de segurança, incluindo componentes do Microsoft Defender.
O aspecto mais relevante é a possibilidade de produzir ferramentas relativamente complexas sem que todo o desenvolvimento precise ser realizado manualmente por uma equipe especializada.
O que essa combinação significa para a segurança Linux
O caso do ransomware Aurora mostra que a evolução das ameaças não depende apenas de novas vulnerabilidades.
Os criminosos também estão combinando linguagens modernas, agentes de IA, automação e ferramentas legítimas de administração para tornar suas operações mais rápidas e adaptáveis.
Para ambientes Linux e ESXi, isso aumenta a importância de controles preventivos e de detecção comportamental.
Administradores devem limitar privilégios, proteger interfaces de gerenciamento, utilizar MFA, segmentar redes administrativas e manter backups isolados e regularmente testados.
Também é importante monitorar atividades incomuns envolvendo NetExec, Nmap, BloodHound, Certipy e ferramentas administrativas do VMware.
No caso de servidores ESXi, o monitoramento deve considerar especialmente comportamentos relacionados à descoberta de hosts, interrupção simultânea de máquinas virtuais e acesso administrativo fora dos padrões habituais.
A utilização de IA também reforça uma mudança na defesa: depender exclusivamente de assinaturas pode ser insuficiente quando os atacantes conseguem modificar rapidamente scripts, parâmetros e binários.
Considerações finais
O ransomware Aurora demonstra como a inteligência artificial pode deixar de ser apenas uma ferramenta de geração de código e passar a participar diretamente de operações de intrusão.
O uso do Cursor Agent com Claude Sonnet permite aos operadores automatizar tarefas de reconhecimento, executar ferramentas e reagir a erros durante uma operação. Paralelamente, o uso de Zig possibilita manter um criptografador capaz de atingir Windows e Linux/ESXi a partir de uma base de código moderna.
O resultado é uma cadeia de ataque que combina engenharia social, automação por IA, movimentação lateral, reconhecimento de infraestrutura VMware e criptografia multiplataforma.
Para administradores Linux, equipes DevOps e profissionais de segurança, o alerta é direto: a defesa precisa considerar não apenas o malware final, mas toda a sequência de comportamento que o antecede.
