Aurora Ransomware : exposition d'un opérateur russophone via un répertoire mal configuré

Tue, 01 Sep 2026 00:00:00 +0200

🔍 Contexte

Publié le 27 août 2026 par CloudSEK (en partenariat avec TRM Labs), cet article inaugure la série « Caught in 4K » dédiée à l’exposition des opérations ransomware. Un répertoire Linux mal configuré, accessible sans authentification sur le port 8888, a permis à CloudSEK d’accéder à l’intégralité du poste de travail d’un affilié du groupe Aurora ransomware.

🎯 Victimologie

L’opérateur a compromis plus de vingt organisations dans neuf pays entre avril et juillet 2026, dont quatre ont été listées sur le site de fuite d’Aurora. Les secteurs touchés incluent :

Aurora Ransomware cible les environnements ESXi et exploite Cursor Agent (IA) pour l'intrusion

Tue, 01 Sep 2026 00:00:00 +0200

🔍 Contexte

Publié le 27 août 2026 par Gambit Security (source : gambit.security), cet article présente les résultats d’une investigation sur l’infrastructure exposée du groupe Aurora ransomware, actif depuis environ avril 2026 et opérant un site de fuite de données.

🦠 Variant Linux/ESXi

Les chercheurs ont identifié un variant Linux du ransomware Aurora (SHA-256 : a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe, 139 KB ELF) hébergé sur Cloudflare R2 et copié manuellement dans plusieurs hôtes internes.

Aurora Ransomware on CyberVeille

Aurora Ransomware : exposition d'un opérateur russophone via un répertoire mal configuré

🔍 Contexte

🎯 Victimologie

Aurora Ransomware cible les environnements ESXi et exploite Cursor Agent (IA) pour l'intrusion

🔍 Contexte

🦠 Variant Linux/ESXi