Ransomware : comment Aurora met à profit l'IA

L'élévation des privilèges et l'exploitation des systèmes

La cinétique d'attaque d'Aurora est caractérisée par sa flexibilité. L'élévation des privilèges s'effectue par l'exploitation des abus de l'Active Directory Certificate Services, utilisant des techniques comme GodPotato, ESC1, ESC6 et ESC8. En parallèle, l'opérateur utilise des méthodes d'élévation NTLM, incluant le relais NTLM via PetitPotam, PrinterBug et DFSCoerce, ou encore une chaîne noPac totalement personnalisée. Ces techniques permettent d'atteindre des niveaux d'accès élevés, tout en maintenant une vigilance constante pour ne pas verrouiller les identifiants.

Un élément distinctif de l'Aur0ra est l'intégration d'assistants agentiques, tels que Cursor Agent et Claude Sonnet, explique Gambit. Ces outils sont employés par l'opérateur pour planifier les séquences d'attaque, rédiger des plans d'exploitation complets et exécuter des tâches spécifiques. Les sessions enregistrées montrent un usage soutenu de l'agent, où l'opérateur sollicite l'IA pour des objectifs précis — comme déterminer les droits d'un utilisateur ou affiner des commandes et scripts — démontrant une assistance active et itérative dans la phase de planification, relève CloudSEK.

L'opérateur déploie une variante Linux de son ransomware, spécifiquement conçue pour les environnements ESXi. En mode -esxi, l'outil de chiffrement identifie avant tout les machines virtuelles en cours d'exécution. Il en force ensuite l'arrêt, ce qui libère les verrous sur les fichiers de disque virtuel (VMDK). Lesquels sont ensuite chiffrés tout en ignorant les volumes système de l'hyperviseur. La note de rançon n'est pas déposée comme fichier, mais écrite directement dans le bandeau de connexion SSH de l'hôte ESXi.

Mouvement latéral, exfiltration et mécanismes anti-récupération

Le déplacement latéral est souvent facilité par l'exploitation de xp_cmdshell sur des serveurs SQL Server. L'exfiltration des données est structurée, utilisant l'archivage 7-Zip en paquets de 50 Go, puis transférant ces paquets vers des endpoints de stockage compatibles S3. Les mesures anti-récupération sont multiples : le variant Windows désactive les copies cachées de volume (VSS) et désactive la restauration du système via le registre. Le variant Linux/ESXi intègre également un mécanisme de surveillance de l'entropie du noyau avant de générer le matériel de chiffrement.

Techniquement, l'outil de chiffrement d'Aur0ra est rédigé entièrement en Zig, un choix de langage peu commun dans le paysage des ransomware, permettant la création de binaires statiques et portables. L'opérateur utilise une infrastructure de pivot SOCKS louée, ne touchant jamais directement aux réseaux victimes. Sur le plan financier, l'activité génère des revenus significatifs. L'analyse des flux de crypto-pépettes, menée par TRM Labs pour CloudSEK, révèle un réseau de blanchiment complexe : les parts entre l'affilié et l'opérateur sont négociées par victime, et les fonds convergent vers des points de consolidation partagés.