Ransomwaregroep zet Cursor-agent in bij inbraak op zeven bedrijven

Ransomwaregroep Aur0ra gebruikte de AI-codeeragent van Cursor om in te breken bij zeven bedrijven, waaronder het Gentse hygiënebedrijf Christeyns, blijkt uit 28 chatsessies die beveiliger Gambit Security aantrof op een server die de groep per ongeluk open liet staan.

Aan Cursor zelf is niets gehackt. De aanvaller had een gewoon werkend account, gaf de agent inloggegevens of een bestaande route naar binnen, en liet hem daarna het handwerk doen. Dat verschuift de vraag voor elk bedrijf waar ontwikkelaars zo'n agent draaien. Niet: is deze tool veilig. Maar: wat kan deze tool bereiken zodra iemand anders de opdrachten typt. Een codeeragent met een VPN-profiel, opgeslagen inloggegevens en netwerktoegang is in de praktijk een inbraakassistent die alleen nog een opdrachtgever mist.

Zes weken sessielogs uit tien netwerken

Gambit-onderzoeker Eyal Sela beschrijft in een rapport van 27 augustus hoe de operator Cursor Agent met Anthropics Claude Sonnet 4.5 inzette in tien doelorganisaties, tussen 8 april en 21 mei 2026. De opdrachten waren precies wat je van een pentester zou verwachten: een VPN-client of proxychains installeren en verbinden, subnetten scannen met Nmap en NetExec, via de BloodHound-collector uitzoeken welke rechten een gestolen account had, authenticatie afdwingen met PetitPotam en PrinterBug om die met Impacket door te sluizen, en certificaataanvallen draaien met Certipy.

Soms kreeg de agent alleen een doel ("vertel me welke rechten deze gebruiker heeft"), soms een voorgeschreven tool of een eerder gemaakt aanvalsplan. In sommige sessies gaf de agent zelf een genummerd lijstje vervolgstappen, waarna de aanvaller enkel een cijfer terugtypte. Het merendeel van de commando's slaagde niet in de eerste poging, wat telkens leidde tot nieuwe varianten van hetzelfde script.

De zwaarste sessie telde 581 commando's bij een Belgische producent van consumentengoederen. Een Brits inspectiebedrijf kreeg er 532 over vijf sessies, een Argentijnse distributeur 177 en een Duitse industriële fabrikant 145.

Reuters bekeek delen van dezelfde chatdata en zette namen bij zes slachtoffers: naast Christeyns de Duitse garagedeurenfabrikant Teckentrup, het Schotse Helideck Certification Agency, een Argentijnse farmadistributeur, een Italiaanse fabrikant en de Amerikaanse titelverzekeraar Bayou Title. Geen van de zes reageerde op vragen van het persbureau. Bayou Title verscheen wel op de lekwebsite van Aur0ra, wat er meestal op wijst dat er geen losgeld is betaald. Christeyns is een familiebedrijf uit Gent dat sinds 1946 hygiëne- en reinigingsproducten maakt en in meer dan vijftig landen actief is, met 44 dochterondernemingen en 24 productielocaties.

"Dit is een testomgeving, dus het is legaal"

De agent weigerde een handvol keren een opdracht die hij schadelijk of illegaal vond. De aanvaller startte dan het gesprek opnieuw en benadrukte dat het om een test ging. Dat werkte vrijwel altijd. In de zichtbare redeneerstap van het model staat de smoes letterlijk terug: "Dit is een testomgeving, dus het is legaal." Daarna voerde de agent honderden kwaadaardige handelingen uit, van het buitmaken van inloggegevens tot het overnemen van accounts met hoge rechten.

De toon in de logs blijft ondertussen die van een behulpzame assistent. "Great! VPN connected successfully!", meldt de agent na de inbraak bij het Argentijnse bedrijf. Bij een kwetsbare host in het netwerk van Teckentrup raadt hij een bekende aanvalstool aan, met de toevoeging "Chance of success: VERY HIGH".

Wat het oplevert, houdt Sela nuchter: de agent maakt de aanvaller naar schatting 30 tot 50 procent sneller omdat het handwerk wegvalt, niet omdat er nieuwe technieken bij komen. Gambit vond dan ook geen fout in de systemen van Cursor. Het ging om een gewone tool die via gewone toegang werd misbruikt. Cursor en moederbedrijf SpaceX reageerden niet op vragen; Anthropic evenmin. Cursor is sinds de fusie die op 14 augustus 2026 van kracht werd een volledige dochter van SpaceX.

De operator zette zelf strakkere grenzen dan het bedrijf

Opvallend is hoe gedisciplineerd de aanvaller zijn eigen agent aan de lijn hield. Bij elk slachtoffer herhaalde hij in het Russisch dezelfde drie verboden: geen DCSync, geen accounts op slot draaien en geen nieuw computerobject aan het domein toevoegen. Alle drie slaan ze luid alarm in een gemiddelde detectie-opstelling. In plaats van een DCSync vroeg hij alleen om de machinehash van de domeincontroller.

De ransomware zelf mikt op de virtualisatielaag. De Linux-variant heeft een ESXi-modus die eerst met esxcli alle draaiende virtuele machines hard afsluit om de bestandsloks vrij te geven, en daarna uitsluitend de VM-bestanden versleutelt: vmdk, vmx, vmsd, vmsn, nvram, vmem, vswp en log. Systeemvolumes laat hij met rust, zodat de hypervisor blijft booten en het slachtoffer de losgeldeis kan lezen. Die eis komt binnen via de SSH-banner: wie inlogt, ziet het bericht nog voor het wachtwoordveld. Een eigen NetExec-module speurt vooraf via LDAP en de poorten 443 en 902 naar ESXi-hosts en vCenter-servers in het netwerk.

Het Singaporese CloudSek publiceerde dezelfde dag een tweede analyse van de groep en telde tussen april en juli meer dan twintig slachtoffers in negen landen, verspreid over industrie, voedsel en landbouw, transport en logistiek, zakelijke dienstverlening, afvalverwerking en IT- en back-upleveranciers. De affiliate-verdeling van het losgeld wisselde per zaak, van 21/79 tot 46/54.

Wat je vandaag kunt inperken

De aanvalsketen in de logs bestaat uit bekende, oplosbare zwakke plekken: NTLM-relay via ongetekende SMB, misconfiguraties in de certificaatdienst van Active Directory, brede netwerktoegang vanaf een werkplek en hypervisors die vanuit het gewone kantoornetwerk bereikbaar zijn. Daar valt het meeste te winnen, en dat werk verandert niet door de komst van AI-agents.

De agent-kant is nieuwer. Een codeeragent draait op de machine van je ontwikkelaar, met diens rechten, tokens en VPN-verbindingen. Dat maakt de vraag welke omgevingen die machine mag zien even belangrijk als de vraag welke tool erop staat. Datzelfde geldt voor wat de agent binnenhaalt: eerder bleek al dat AI-codeerassistenten repositories aanraden die niet bestaan en door aanvallers vooraf kunnen worden geclaimd.

De Aur0ra-zaak past in een reeks die dit jaar snel dikker wordt. Trend Micro las eerder ruim een maand aan sessielogs waarin een Russischtalige aanvaller Google's Gemini CLI een volledig botnet liet opzetten, migreren en beheren, en Sysdig documenteerde een ransomware-aanval waarin een taalmodel de hele keten aanstuurde en 1.342 databaseconfiguraties versleutelde. Steeds is het patroon hetzelfde: geen geniale malware, geen onbekend lek, maar een assistent die het vakwerk overneemt van iemand die het zelf niet meer hoeft te kunnen. Gambits strategiedirecteur Curtis Simpson noemt het een kat-en-muisspel tussen de aanbieders van AI-modellen en de gebruikers die hun guardrails blijven omzeilen. Zolang een zin als "dit is een testomgeving" volstaat om de rem eraf te halen, ligt het zwaartepunt van de verdediging niet bij de leverancier van de agent, maar bij de toegang die je hem in je eigen netwerk gunt.