Un affilié du ransomware Aurora, dont les activités s’étendent d’avril à juillet 2026, a laissé derrière lui une trace numérique détaillée, exposée dans un répertoire ouvert. Cette découverte, relayée par CloudSEK, montre comment l’opérateur, dont on soupçonne être russophone, a exploité des outils d’intelligence artificielle pour orchestrer ses incursions sur plus de vingt entités différentes.

Les artefacts récupérés incluent non seulement le kit d’outils de l’attaquant, mais aussi des journaux de conversation avec Cursor, un assistant de codage agentique. D’après Gambit Security, cette utilisation s’est faite notamment avec Claude Sonnet, et ces échanges ont permis de planifier des séquences d’attaque complètes contre les domaines Active Directory.

L’attaquant n’a pas eu besoin de passer par les voies conventionnelles ; il a utilisé l’IA pour cartographier le réseau, rechercher des identifiants et progresser latéralement avec une intervention humaine minimale, comme l’indique Sophos. Les instructions obtenues par les chercheurs montrent que l’opérateur demandait à l’agent de trouver des serveurs de sauvegarde ou des systèmes de virtualisation, tout en réitérant des interdictions strictes, telles que « dcsync is absolutely forbidden ».

Ce qui rend le dossier particulièrement technique, c’est la pile technologique employée. Le binaire de chiffrement d’Aurora est écrit entièrement en Zig, un langage relativement nouveau, contrairement aux usages plus courants de Go ou Rust dans ce secteur. En parallèle, l’attaquant a utilisé des pivots SOCKS loués, principalement situés en Allemagne et aux États-Unis, pour masquer ses mouvements, sans jamais toucher directement les réseaux des victimes.

L’arsenal d’exploitation était vaste. On observe des séquences d’énumération standard — LDAP et SMB discovery, ASREPRoasting, Kerberoasting — mais aussi des chemins d’escalade sophistiqués, incluant l’abus d’ADCS et des relais NTLM coercés. L’attaquant a également développé des modules NetExec privés, notamment pour cibler sept navigateurs différents.

La piste financière, elle, est devenue très concrète. En s’associant à TRM Labs, CloudSEK a pu tracer les paiements de rançon sur la blockchain. Ils ont constaté que les fonds provenant d’au moins deux victimes convergeaient vers une infrastructure de blanchiment commune, ce qui solidifie le profil de cet opérateur comme étant un acteur direct, et non un simple courtier.

L’approche des attaquants n’est pas restée confinée aux outils publics. Les chercheurs ont noté que l’opérateur tentait de contourner les mécanismes de sécurité des outils d’IA en décrivant ses actions comme des activités de « red team » autorisées, une tactique visant à désactiver les garde-fous intégrés aux modèles comme ceux d’Anthropic ou d’OpenAI.

Le fait que l’opérateur ait pu obtenir des certificats d’administrateur de domaine grâce à une mauvaise configuration de modèle, tout en automatisant la reconnaissance de ces failles avec l’aide de l’IA, laisse penser que la capacité d’accélération des phases d’attaque est maintenant intrinsèque à ces groupes. Les analyses suggèrent que cette intégration des agents IA dans le cycle d’attaque est une tendance que d’autres groupes de rançongiciels vont probablement suivre.

Sources

• Caught in 4K: The Aurora Files | CloudSEK, cloudsek.com
• Aurora ransomware targets ESXi abuses Cursor Agent for exploitation, gambit.security
• Ransomware gang talked AI agents into doing much of its dirty work, Help Net Security, 2 novembre 2026
• Attacker Relentlessly Scans for Credentials by Impersonating AI Bots, Dark Reading, 28 octobre 2026