گروه باج‌افزاری روسی‌زبان به‌نام Aurora (یا Aur0ra) راهی هوشمندانه و نگران‌کننده برای تسریع حملات خود پیدا کرده است: به‌جای استخدام برنامه‌نویسان متخصص، از ابزار کدنویسی هوش مصنوعی محبوب Cursor برای برنامه‌ریزی و اجرای حملات خود علیه بیش از ۲۰ سازمان در ۹ کشور استفاده کرده است.
این کشف که توسط شرکت‌های امنیتی CloudSEK و Gambit Security انجام و در TheHackerNews و Cybersecurity Dive منتشر شد، نشان می‌دهد گروه‌های باج‌افزاری به‌طور فزاینده‌ای به ابزارهای هوش مصنوعی کدنویسی روی می‌آورند تا سرعت و مقیاس حملات خود را افزایش دهند.
چگونه یک هکر، Cursor را فریب داد؟
محققان یک پوشه باز (open directory) پیدا کردند که ماه‌ها فعالیت این گروه را افشا می‌کرد. در ۲۸ جلسه گفتگوی بازیابی‌شده بین ۸ آوریل تا ۲۱ می ۲۰۲۶، مهاجم به زبان روسی با Cursor صحبت می‌کرد و از آن می‌خواست دنباله‌های حمله را طراحی کند.
ترفند اصلی این بود: هکر Cursor را متقاعد کرد که این فعالیت‌ها بخشی از یک تست امنیتی مجاز است – دقیقاً همان الگویی که در چند حادثه دیگر امسال (مانند سوءاستفاده از Claude Code) هم دیده شده بود. نکته جالب توجه دیگر این بود که مهاجم به‌طور خاص محدوده‌های IP و دامنه‌های کشورهای مشترک‌المنافع (CIS) را از اهداف حمله حذف کرده بود – نشانه‌ای واضح از منشأ جغرافیایی این گروه.
روش فنی حمله
در نسخه لینوکسی این حملات، مهاجمان از یک اسکریپت پایتون به‌نام esxi_finder.py استفاده می‌کردند که به‌طور خودکار، هایپروایزرهای VMware ESXi و سرورهای vCenter را در شبکه قربانی شناسایی می‌کرد – دقیقاً همان سیستم‌هایی که میزبان مهم‌ترین داده‌های سازمانی هستند و هدف اصلی اکثر حملات باج‌افزاری امروزی محسوب می‌شوند.
قربانیان این حمله
اگرچه هویت همه قربانیان فاش نشده، اما بر اساس گزارش رویترز، برخی از سازمان‌های آسیب‌دیده شامل یک شرکت شیمیایی، یک تولیدکننده صنعتی آلمانی، یک آژانس صدور گواهی هلیدک، یک شرکت عنوان (title) آمریکایی، یک توزیع‌کننده دارویی آرژانتینی و یک تولیدکننده ایتالیایی بودند – نشان‌دهنده تنوع جغرافیایی و صنعتی گسترده این کمپین.
چرا این روند نگران‌کننده است؟
- سرعت حمله به‌شدت افزایش یافته – ابزارهای هوش مصنوعی کدنویسی می‌توانند در عرض چند دقیقه، اسکریپت‌های پیچیده شناسایی و نفوذ تولید کنند
- نیازی به تیم فنی بزرگ نیست – یک نفر با دانش محدود می‌تواند با کمک هوش مصنوعی، حملاتی در سطح گروه‌های حرفه‌ای باج‌افزاری انجام دهد
- این الگو در حال تکرار شدن است – از Claude Code گرفته تا Cursor، ابزارهای هوش مصنوعی کدنویسی به بخشی استاندارد از زنجیره حمله باج‌افزاری تبدیل شده‌اند
راهکارهای عملی برای سازمان‌ها
- 🔒 هایپروایزرهای VMware ESXi و vCenter خود را با آخرین وصله‌های امنیتی به‌روزرسانی کنید و دسترسی به آنها را محدود کنید
- 👁️ سیستم‌های نظارتی برای شناسایی اسکن‌های غیرعادی شبکه (مانند جستجوی خودکار سرورهای ESXi) پیاده‌سازی کنید
- 💾 پشتیبان‌گیری منظم و ایزوله از داده‌های حیاتی داشته باشید – جدا از شبکه اصلی، تا در صورت حمله باج‌افزاری قابل بازیابی باشند
- 🔍 فعالیت‌های غیرعادی مرتبط با احراز هویت و دسترسی به سرورهای حیاتی را رصد کنید
نقش Fadak Guardian
Fadak Guardian به سازمان‌ها کمک می‌کند تا در برابر این نسل جدید حملات باج‌افزاری آماده باشند:
- ✅ آگاهی‌رسانی درباره جدیدترین روش‌های سوءاستفاده از ابزارهای هوش مصنوعی کدنویسی توسط گروه‌های باج‌افزاری
- ✅ کمک به طراحی استراتژی پشتیبان‌گیری و بازیابی در برابر باج‌افزار
- ✅ آموزش تیم‌های فنی درباره شناسایی نشانه‌های اولیه نفوذ
نتیجه‌گیری
حمله گروه Aurora با کمک Cursor، یکی دیگر از نمونه‌های روشن این واقعیت است: ابزارهای هوش مصنوعی کدنویسی که برای افزایش بهره‌وری توسعه‌دهندگان طراحی شده‌اند، امروز به یک سلاح استاندارد در دستان گروه‌های باج‌افزاری تبدیل شده‌اند. سازمان‌هایی که هنوز امنیت خود را متناسب با این واقعیت جدید تنظیم نکرده‌اند، باید هرچه سریع‌تر این کار را انجام دهند.