Ransomware Aurora Gunakan Cursor AI dalam Serangan Siber

Penggunaan Artificial Intelligence (AI) dalam serangan siber memasuki babak baru. Kelompok kriminal siber yang mengoperasikan ransomware Aurora diketahui memanfaatkan asisten pemrograman berbasis AI, Cursor, untuk membantu merencanakan dan menjalankan serangan terhadap sejumlah organisasi.

Temuan ini terungkap melalui dua analisis terpisah yang dilakukan perusahaan keamanan siber CloudSEK dan Gambit Security. Keduanya menemukan bukti bahwa AI tidak hanya digunakan untuk membantu membuat kode, tetapi juga dimanfaatkan dalam berbagai tahapan operasi serangan terhadap jaringan korban.

CloudSEK menemukan infrastruktur yang terekspos dan berkaitan dengan kelompok pengoperasi Aurora, termasuk perangkat yang digunakan, riwayat perintah shell, serta program ransomware untuk mengenkripsi data.

Dari infrastruktur tersebut, CloudSEK menemukan sebuah direktori terbuka yang membocorkan aktivitas kelompok selama berbulan-bulan. Aktivitas itu berlangsung terhadap lebih dari 20 organisasi di sembilan negara dalam periode April hingga Juli 2026.

Empat organisasi bahkan telah tercantum di situs kebocoran data yang digunakan kelompok ransomware tersebut untuk menekan korban agar membayar uang tebusan.

Menurut CloudSEK, operator Aurora menggunakan Cursor sebagai "asisten coding berbasis agen AI" untuk membantu menyusun rencana serangan. Menariknya, instruksi yang digunakan operator ditulis dalam bahasa Rusia.

Kelompok tersebut juga disebut secara konsisten menghindari target yang berada di negara-negara anggota Commonwealth of Independent States (CIS). Dengan kata lain, mereka sengaja tidak menyerang rentang alamat jaringan dan domain yang berasal dari negara-negara CIS.

Aurora Mulai Terlihat Sejak Mei 2026

Ransomware Aurora pertama kali diketahui publik pada akhir Mei 2026. Saat itu, perusahaan keamanan siber CYFIRMA melaporkan bahwa malware tersebut terutama menargetkan perangkat berbasis Windows. Seiring waktu, Aurora terus dikembangkan oleh operatornya. Pembaruan dilakukan secara bertahap dengan menambahkan kemampuan dan fitur baru untuk mendukung operasi serangan.

Data dari Ransomware.Live menunjukkan setidaknya 33 korban Aurora yang berada di Amerika Serikat, Jerman, Belanda, Kanada, dan Inggris. Salah satu pola serangan Aurora sebelumnya juga diungkap Black Hills Information Security. Dalam kasus tersebut, pelaku memulai serangan dengan mengirimkan email dalam jumlah besar kepada karyawan perusahaan korban.

Setelah email masuk, pelaku kemudian menelepon karyawan dan menyamar sebagai petugas help desk atau dukungan teknologi informasi. Mereka berpura-pura ingin membantu menyelesaikan masalah yang sebelumnya disampaikan melalui email.

Namun, bantuan tersebut ternyata menjadi bagian dari skenario untuk mendapatkan akses ke komputer korban. Pelaku kemudian menggunakan Xray-core, sebuah utilitas open-source, untuk membangun akses jarak jauh ke perangkat yang menjadi target. Setelah berhasil masuk ke jaringan, pelaku tidak langsung menjalankan ransomware. Mereka terlebih dahulu bergerak dari satu perangkat ke perangkat lain untuk mencari sistem dan akun yang memiliki hak akses lebih tinggi.

Dalam tahap ini, sejumlah protokol dan layanan jaringan seperti SMB, LDAP, WinRM, RDP, dan RPC dimanfaatkan untuk melakukan pergerakan lateral. Tujuan akhirnya adalah memperoleh akun administrator dengan hak istimewa tinggi. Akun tersebut kemudian dapat digunakan untuk mengurangi kemungkinan serangan terdeteksi. Pelaku diketahui menghapus log aktivitas dan menonaktifkan Microsoft Defender sebelum melanjutkan aksinya.

Setelah pertahanan jaringan dilemahkan, pelaku mencuri data sensitif dan mengirimkannya keluar dari jaringan korban. Tahap terakhir adalah menjalankan ransomware untuk mengenkripsi data.

Strategi semacam ini menunjukkan bahwa ransomware modern tidak lagi sekadar program yang mengunci file. Operatornya menjalankan serangkaian tahapan untuk memperoleh akses, mengambil alih jaringan, mencuri informasi, dan kemudian menggunakan enkripsi sebagai alat pemerasan.

Cursor Membantu Menyusun Rencana Serangan

Salah satu temuan paling menarik dalam investigasi Aurora adalah penggunaan Cursor untuk membantu operator merencanakan serangan. CloudSEK menemukan riwayat percakapan yang memperlihatkan bahwa operator menggunakan Cursor secara intensif untuk berbagai tahap operasi.

Salah satu bukti yang ditemukan adalah rencana lengkap untuk mengeksploitasi Active Directory Certificate Services (AD CS). Rencana tersebut ditulis dalam bahasa Rusia. AD CS sendiri merupakan teknologi Microsoft yang digunakan organisasi untuk mengelola sertifikat digital. Jika konfigurasi atau implementasinya memiliki kelemahan, teknologi tersebut dapat menjadi salah satu jalur yang dimanfaatkan penyerang untuk meningkatkan akses di dalam jaringan.

Temuan tersebut memperlihatkan bahwa AI digunakan bukan hanya sebagai alat bantu pemrograman, tetapi juga sebagai pendamping dalam menyusun langkah teknis sebuah serangan. CloudSEK juga menemukan bahwa Aurora tersedia dalam versi Windows serta Linux. Kedua versi tersebut ditulis menggunakan bahasa pemrograman Zig.

Program Windows diberi nama sap.exe, sedangkan versi Linux dan ESXi menggunakan nama encrypt.out.

Menariknya, kedua program tersebut ternyata berasal dari satu basis kode yang sama. Pengembang kemudian mengompilasinya untuk sistem operasi yang berbeda.

Dengan pendekatan tersebut, pengembang tidak perlu membuat dua ransomware secara terpisah untuk Windows dan Linux. Bahkan, program Windows masih menyimpan contoh penggunaan yang berkaitan dengan versi Linux. Menurut CloudSEK, hal tersebut merupakan sisa dari penggunaan satu sumber kode untuk beberapa platform.

Aurora Juga Menghambat Pemulihan Data

Aurora tidak hanya dirancang untuk mengenkripsi data. Malware ini juga memiliki kemampuan untuk menghambat upaya korban memulihkan sistem.

Pada Windows, ransomware dapat menghapus volume shadow copies. Fitur tersebut biasanya dapat digunakan sebagai salah satu cara untuk memulihkan file atau sistem setelah terjadi masalah. Aurora juga dapat menonaktifkan System Restore melalui Windows Registry.

Pada sistem Linux dan VMware ESXi, pendekatan yang digunakan berbeda. Versi tersebut berusaha menghentikan seluruh mesin virtual yang sedang berjalan di host sebelum proses enkripsi dimulai. Langkah ini dapat memperbesar dampak serangan, terutama pada lingkungan perusahaan yang menjalankan banyak mesin virtual untuk aplikasi, layanan, maupun penyimpanan data.

Afiliasi Bisa Mendapat Hingga 79 Persen Tebusan

Investigasi terhadap Aurora juga memberikan gambaran mengenai model bisnis di balik ransomware tersebut. Peneliti menemukan sebuah kunci dari program enkripsi Aurora yang diduga memberikan akses ke percakapan negosiasi uang tebusan antara operator dan salah satu korban.

Selain itu, ditemukan empat dompet cryptocurrency yang memperlihatkan pola pembagian uang antara operator utama dan afiliasi. Dalam skema tersebut, afiliasi dapat memperoleh sekitar 54 hingga 79 persen dari uang tebusan. Sisanya menjadi bagian operator atau administrator ransomware.

Besarnya pembagian tampaknya tidak selalu sama. Persentasenya diduga ditentukan berdasarkan masing-masing korban, termasuk jumlah tebusan yang diminta serta kondisi finansial atau pendapatan korban. Model seperti ini menunjukkan bahwa ransomware beroperasi layaknya bisnis ilegal dengan pembagian tugas dan keuntungan antara pengembang, operator, serta afiliasi yang melakukan serangan. Dana cryptocurrency yang diperoleh kemudian dicuci dan dicairkan untuk menyamarkan asal-usulnya.

Cursor Agent Digunakan untuk Menyerang 10 Target

Temuan CloudSEK diperkuat oleh investigasi Gambit Security. Perusahaan tersebut mengatakan operator Aurora menggunakan Cursor Agent yang menjalankan model AI Claude Sonnet dari Anthropic untuk membantu melakukan eksploitasi terhadap 10 target.

Aktivitas tersebut diamati antara 8 April hingga 21 Mei 2026. Eyal Sela, direktur threat intelligence Gambit Security, menjelaskan bahwa dalam kasus-kasus tersebut, AI sudah diberikan kredensial atau jalur masuk yang tersedia ke organisasi korban.

Setelah itu, agen AI diberikan berbagai tugas untuk membantu melakukan eksploitasi. Dalam beberapa kasus, operator hanya memberikan tujuan akhir tanpa menjelaskan seluruh langkah yang harus dilakukan. Misalnya, AI diminta mengetahui hak akses yang dimiliki sebuah akun.

Dalam kasus lain, operator menentukan alat tertentu yang harus digunakan atau meminta agen mengikuti rencana serangan yang telah dibuat sebelumnya. AI bahkan dapat memberikan beberapa pilihan langkah berikutnya. Operator kemudian hanya perlu memilih salah satu opsi yang diberikan.

Dengan demikian, manusia tidak sepenuhnya menyerahkan kendali kepada AI. Operator tetap menentukan arah serangan, sedangkan agen AI digunakan untuk membantu mengerjakan berbagai tugas teknis. Gambit Security menemukan bahwa tugas yang diberikan antara lain melakukan pemindaian jaringan internal, memetakan hak akses, mengatur koneksi jaringan, serta mencoba berbagai teknik eksploitasi.

Namun, agen AI tidak selalu berhasil dalam percobaan pertama. Sebagian besar perintah awal gagal mencapai tujuan. Operator kemudian melakukan berbagai perubahan dan penyempurnaan terhadap perintah maupun skrip. Beberapa percobaan akhirnya berhasil, sedangkan lainnya tetap gagal dan hanya menghasilkan laporan mengenai tindakan yang telah dilakukan.

Temuan ini sekaligus menunjukkan keterbatasan AI. Meskipun dapat membantu menjalankan tugas teknis, agen tetap dapat melakukan kesalahan dan membutuhkan pengawasan manusia.

VMware ESXi Ikut Dibidik

Serangan Aurora juga menyasar lingkungan virtualisasi. Dalam operasi yang menggunakan versi Linux, penyerang menggunakan skrip Python bernama esxi_finder.py. Sesuai namanya, skrip tersebut digunakan untuk mencari VMware ESXi hypervisor dan server vCenter di dalam jaringan korban.

Keberadaan kemampuan tersebut penting karena banyak perusahaan menggunakan virtualisasi untuk menjalankan berbagai layanan sekaligus. Jika penyerang berhasil menguasai infrastruktur virtualisasi, dampaknya dapat meluas ke banyak mesin virtual yang berada di dalamnya.

Muncul Toolkit AI Bernama Gryxa

Kasus Aurora bukan satu-satunya contoh pemanfaatan AI oleh penjahat siber. Peneliti juga menemukan toolkit baru bernama Gryxa yang digunakan dalam operasi kejahatan siber bermotif finansial. ReliaQuest mengatakan operasi tersebut menargetkan 324 host.

Yang membuat Gryxa menarik adalah penggunaan AI dalam proses pengembangannya. ReliaQuest menyebut Gryxa sebagai kasus pertama yang mereka amati ketika AI digunakan untuk membantu membangun hampir seluruh operasi, mulai dari toolkit hingga konsol yang digunakan untuk mengoperasikannya.

Gryxa memanfaatkan perangkat lunak Remote Monitoring and Management (RMM) yang sebenarnya sah untuk membuat akses tersembunyi pada komputer korban. Setelah mendapatkan akses, toolkit tersebut menggunakan beberapa mekanisme persistence agar tetap aktif meskipun komputer mengalami restart.

Gryxa juga dirancang untuk mencuri kredensial yang tersimpan di browser berbasis Chromium. Selain mencuri informasi, malware ini memiliki kemampuan unik dalam menghadapi sistem keamanan. Jika koneksi ke pelaku terputus, Gryxa dapat mencoba menonaktifkan atau menghapus perangkat lunak keamanan endpoint, termasuk Microsoft Defender.

Ketika koneksi kembali tersedia, toolkit tersebut dapat mengaktifkan kembali Microsoft Defender.

Gryxa Diduga Disebar Melalui Phishing

Peneliti menduga Gryxa disebarkan melalui email phishing. Setelah berhasil dijalankan di komputer korban, malware membuat mekanisme persistence menggunakan scheduled tasks. Toolkit tersebut juga berupaya melewati perlindungan App-Bound Encryption (ABE) pada Chromium untuk mencuri kredensial dari browser. Data yang berhasil dikumpulkan kemudian dikirim kepada pelaku melalui Telegram.

Namun, kemampuan Gryxa yang paling tidak biasa adalah kemampuannya memantau bagaimana korban mencoba membersihkan malware. Setelah komponen RMM yang terlihat berhasil dihapus, komponen tersembunyi Gryxa akan mengumpulkan log Windows dan berbagai artefak dari komputer korban.

Data tersebut kemudian dikirimkan ke infrastruktur yang dikendalikan pelaku. Dengan informasi tersebut, penyerang dapat mengetahui bagaimana tim keamanan melakukan proses pembersihan, termasuk alat yang digunakan, akun yang menjalankan proses, serta urutan tindakan yang dilakukan.

Gryxa bahkan memiliki pekerjaan siap pakai bernama collect-forensics di konsolnya. Hal tersebut menunjukkan bahwa pengumpulan informasi forensik kemungkinan telah menjadi kemampuan standar toolkit, bukan fitur yang dibuat khusus untuk satu serangan.

Toolkit ini juga mengganti file log ketika ukurannya mencapai lebih dari 200 KB. Tujuannya adalah menjaga agar aktivitas terbaru tetap tersedia.

AI Membuka Babak Baru Serangan Siber

Munculnya Aurora dan Gryxa menunjukkan bahwa AI mulai menjadi bagian dari rantai serangan siber modern. Sebelumnya, AI lebih banyak dipandang sebagai alat untuk membantu programmer menulis kode atau meningkatkan produktivitas. Kini, teknologi serupa dapat disalahgunakan untuk membantu penyerang melakukan berbagai pekerjaan teknis.

Dalam kasus Aurora, Cursor digunakan untuk membantu merencanakan serangan dan melakukan eksploitasi terhadap target. Sementara itu, Gryxa menunjukkan bahwa AI dapat dimanfaatkan dalam proses pengembangan toolkit yang digunakan untuk memperoleh dan mempertahankan akses ke perangkat korban.

Kondisi ini menghadirkan tantangan baru bagi industri keamanan siber. Perusahaan bukan hanya harus menghadapi malware yang semakin kompleks, tetapi juga kemungkinan bahwa pelaku menggunakan AI untuk mempercepat proses serangan.

Meski demikian, temuan Gambit Security juga menunjukkan bahwa AI belum sepenuhnya mampu bekerja tanpa campur tangan manusia. Banyak perintah yang gagal dan membutuhkan penyempurnaan. Namun, kemampuan AI untuk memberikan rekomendasi langkah berikutnya, menjalankan tugas teknis, serta membantu operator menyusun strategi dapat mengurangi sebagian beban pekerjaan penyerang.

Perkembangan tersebut menjadi pengingat bahwa perlindungan terhadap penyalahgunaan AI harus berjalan seiring dengan pengembangan teknologinya. Bagi perusahaan, ancaman ini juga memperkuat pentingnya menerapkan autentikasi berlapis, membatasi hak akses administrator, memantau aktivitas jaringan, memperkuat keamanan email, serta memiliki sistem pencadangan yang terlindungi.

Sebab, ketika AI mulai digunakan untuk membantu serangan ransomware, batas antara kemampuan teknis seorang penyerang dan kemampuan sebuah kelompok kriminal siber dapat menjadi semakin tipis.