Um afiliado do ransomware Aurora utilizou inteligência artificial para planejar e executar ataques contra ambientes corporativos, com foco em Active Directory e servidores VMware ESXi. A operação atingiu mais de 20 organizações entre abril e julho de 2026.
A investigação revelou que o invasor empregava o Cursor, assistente de programação com IA, para desenvolver comandos, ajustar técnicas de exploração e montar sequências voltadas ao comprometimento de infraestruturas Windows.
Entre os principais alvos estava o Active Directory Certificate Services (ADCS). O operador recorria à IA para refinar ataques de elevação de privilégios e identificar caminhos que permitissem alcançar contas administrativas ou controle do domínio.
A campanha incluía ainda exploração do noPac e ataques de retransmissão NTLM com recursos como PetitPotam, PrinterBug e DFSCoerce. Em alguns ambientes, essas técnicas permitiam avançar até privilégios de administrador de domínio.
Depois de consolidar o acesso, os criminosos coletavam e compactavam grandes volumes de dados antes da exfiltração. O ransomware Aurora podia então ser implantado em sistemas Windows, Linux e servidores VMware ESXi.
A variante voltada ao ESXi consegue interromper máquinas virtuais antes da criptografia, aumentando o impacto sobre ambientes virtualizados. No Windows, o malware também tenta apagar cópias de sombra e desativar mecanismos de recuperação.
