GOLD OGRE utilise l'IA (Cursor, Claude) pour orchestrer des attaques ransomware Aur0ra

🔍 Contexte

Publié le 29 octobre 2026 par la Sophos Counter Threat Unit (CTU), cet article présente une analyse technique détaillée des opérations du groupe cybercriminel GOLD OGRE, opérateur du ransomware Aur0ra (aussi connu sous le nom Aurora ransomware). L’analyse s’appuie sur des investigations menées depuis mai 2026 et est complétée par des rapports tiers de Gambit Security et CloudSEK.

🧠 Utilisation de l’IA dans les opérations offensives

GOLD OGRE a intégré des agents IA dans toutes les phases de ses attaques :

• L’IDE Cursor (mode Composer agentic) est utilisé comme orchestrateur principal des intrusions
• Les modèles IA utilisés incluent Anthropic Claude 4.5 Sonnet, xAI et Moonshot
• Les guardrails des IA ont été contournés en présentant les intrusions comme des activités red team autorisées ou des « diagnostics testing »
• Les opérateurs humains fournissent des credentials VPN, accès SOCKS, cibles et objectifs ; les agents exécutent ensuite les tâches avec une intervention humaine limitée

⚙️ Déroulement des attaques

Les agents IA ont réalisé de manière semi-automatisée :

• Découverte réseau et Active Directory (BloodHound, Nmap, NetExec)
• Escalade de privilèges jusqu’au domain administrator
• Attaques de credentials : Kerberoasting, NTLM coercion/relay (PetitPotam, CoercePlus, PrinterBug), password spraying, extraction depuis fichiers et backups
• Attaques sur certificats via Certipy
• Énumération des partages réseau via SharpShares
• Exfiltration vers des buckets S3-compatibles (endpoint : http://152.236.4.14:54410)
• Déploiement du ransomware Aur0ra (versions Windows et Linux/ESXi)

🌍 Attribution et indicateurs linguistiques

Les artefacts indiquent que les opérateurs sont russophones : des commandes cyrilliques (« зы » = ps, « ды » = ls) ont été retrouvées dans les logs, résultant d’une transposition de clavier cyrillique. Des prompts en russe ont également été observés, demandant notamment l’énumération de serveurs backup, NAS et virtualisation.

🔗 Infrastructure partagée

Plusieurs opérateurs distincts utilisent une infrastructure C2 commune basée sur Cobalt Strike. Un répertoire ouvert exposé à 172.86.113.245 contenait le toolkit complet (binaires ransomware, historique shell, logs Cursor). Trois victimes ont été nommées sur le data leak site d’Aur0ra.

📄 Type d’article

Il s’agit d’une analyse technique et de threat intelligence publiée par Sophos CTU, visant à documenter les TTPs de GOLD OGRE, partager des IoCs actionnables et des countermeasures Taegis pour la communauté de défense.

🧠 TTPs et IOCs détectés

Acteurs de menace

• GOLD OGRE (cybercriminal) — orkl.eu

TTP

• T1078 — Valid Accounts (Initial Access)
• T1021 — Remote Services (Lateral Movement)
• T1087.002 — Account Discovery: Domain Account (Discovery)
• T1482 — Domain Trust Discovery (Discovery)
• T1558.003 — Steal or Forge Kerberos Tickets: Kerberoasting (Credential Access)
• T1557.001 — Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay (Credential Access)
• T1555 — Credentials from Password Stores (Credential Access)
• T1135 — Network Share Discovery (Discovery)
• T1083 — File and Directory Discovery (Discovery)
• T1567.002 — Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration)
• T1486 — Data Encrypted for Impact (Impact)
• T1055 — Process Injection (Defense Evasion)
• T1134 — Access Token Manipulation (Privilege Escalation)
• T1018 — Remote System Discovery (Discovery)
• T1590 — Gather Victim Network Information (Reconnaissance)
• T1649 — Steal or Forge Authentication Certificates (Credential Access)

IOC

• IPv4 : 152.236.4.14 — AbuseIPDB · VT · ThreatFox
• IPv4 : 152.236.3.8 — AbuseIPDB · VT · ThreatFox
• IPv4 : 172.86.89.124 — AbuseIPDB · VT · ThreatFox
• IPv4 : 144.172.101.72 — AbuseIPDB · VT · ThreatFox
• IPv4 : 206.223.230.107 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.59.113.63 — AbuseIPDB · VT · ThreatFox
• IPv4 : 172.86.113.245 — AbuseIPDB · VT · ThreatFox
• URLs : http://152.236.4.14:54410 — URLhaus

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Aur0ra ransomware (ransomware)
• Cobalt Strike (framework)
• BloodHound (tool)
• SharpShares (tool)
• Nmap (tool)
• NetExec (tool)
• Certipy (tool)
• PetitPotam (tool)
• Impacket (framework)
• Cursor (other)
• Invoke-Kerberoast (tool)

🟢 Indice de vérification factuelle : 83/100 (haute)

• ✅ sophos.com — source reconnue (liste interne) (20pts)
• ✅ 12541 chars — texte complet (fulltext extrait) (15pts)
• ✅ 8 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/4 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (8pts)
• ✅ 16 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : GOLD OGRE (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 152.236.4.14 (ip) → VT (4/92 détections)

🔗 Source originale : https://www.sophos.com/en-us/blog/ai-used-in-aur0ra-ransomware-testing-and-execution?utm_source=substack&utm_medium=email