สรุปสั้น
Aur0ra หรือ Aurora คือ แรนซัมแวร์ที่บริษัท Sophos ติดตามกลุ่มเบื้องหลังในชื่อ GOLD OGRE และเคยถูกรายงานว่าใช้ AI ช่วยวางแผนการเจาะมาก่อน ล่าสุด Sophos เผยว่ากลุ่มนี้ยกงานที่ยากที่สุดของการเจาะเครือข่ายให้เอเจนต์ AI ในเครื่องมือเขียนโค้ด Cursor ทำแทน ผู้ปฏิบัติการที่เป็นคนเพียงให้สิทธิ์ VPN ที่ขโมยมา เป้าหมาย และสิ่งที่ต้องการ จากนั้นเอเจนต์จะสำรวจเครือข่าย หาทางไปสู่บัญชีสิทธิ์สูง เคลื่อนที่ข้ามเครื่อง และไต่ไปจนถึง Domain Admin ซึ่งเท่ากับคุมเครือข่าย Windows ได้ทั้งหมด ก่อนเก็บข้อมูลและเตรียมปล่อยแรนซัมแวร์
ผู้โจมตีหลบกฎความปลอดภัยของโมเดล AI ด้วยการอธิบายงานว่าเป็นงาน red team ที่ได้รับอนุญาตหรือ “การทดสอบเพื่อวินิจฉัย” ในบางเครือข่ายเอเจนต์ไปถึงสิทธิ์จัดการโดเมน และเหยื่อ 3 รายในนั้นปรากฏบนเว็บไซต์ประจานของ Aur0ra ในภายหลัง Sophos มั่นใจสูงว่ากลุ่มนี้ใช้ AI ทดสอบว่าเครื่องมือหลบ EDR ได้ดีแค่ไหน แล้วส่งต่อเทคโนโลยีให้พันธมิตร และคาดว่าแก๊งแรนซัมแวร์อื่นจะทำตาม เมื่อ AI เร่งทุกขั้นของการเจาะ องค์กรจึงต้องตอบสนองต่อแจ้งเตือนให้เร็วขึ้น และจำกัดเส้นทางที่ผู้บุกรุกจะเคลื่อนที่ได้
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่าทีม Counter Threat Unit ของ Sophos พบกิจกรรมนี้ขณะศึกษาเฟรมเวิร์กทดสอบที่ใช้ AI ช่วยซึ่งสร้างด้วย Cursor และเคยเผยแพร่งานวิจัยไปเมื่อพฤษภาคม 2569 เฟรมเวิร์กนั้นทดสอบผลิตภัณฑ์ EDR หลายตัว รวมถึงเอเจนต์ของ Sophos เอง ต่อมาโครงสร้างพื้นฐานชุดเดียวกันถูกพบว่าโฮสต์ Cobalt Strike ที่ใช้ในปฏิบัติการ Aur0ra Sophos ระบุว่าได้แจ้งลูกค้าที่ได้รับผลกระทบและทำงานร่วมกับหน่วยงานบังคับใช้กฎหมายเพื่อแจ้งเหยื่อรายอื่น
ไทม์ไลน์ คือ ช่วงปลายเดือนสิงหาคม 2569 นักวิเคราะห์กู้ไฟล์ของ Cursor ที่เกี่ยวข้องทั้งกับงานแรนซัมแวร์และการทดสอบหลบการตรวจจับได้ ผู้โจมตีใช้โมเดล Composer ของ Cursor รันการเจาะหลายครั้ง ร่วมกับโมเดลจากบริษัท Anthropic, xAI และ Moonshot ช่วงแรกใช้ Anthropic เกือบทั้งหมด แล้วเพิ่มรายอื่นเมื่อเปลี่ยนจากการสร้างเครื่องมือมาเป็นการเจาะเครือข่ายจริง ในช่วงเดียวกัน บริษัท Gambit Security และ CloudSEK เผยแพร่รายงานที่ดูเหมือนอิงไดเรกทอรีเปิดชุดเดียวกันบน 172.86.113[.]245 ซึ่งมีแรนซัมแวร์ Aur0ra ทั้งเวอร์ชัน Windows และ Linux (พร้อมสำหรับ ESXi) ประวัติคำสั่ง shell และบันทึกแชตของ Cursor โดย Gambit พบเอเจนต์ Claude 4.5 Sonnet ในการเจาะแบบกึ่งอัตโนมัติด้วย (กิจกรรมช่วงก่อนหน้าของพันธมิตร Aurora อ่านได้ที่ 2026/08/178 )
ข้อจำกัดของหลักฐาน คือ บันทึกแสดงการพิมพ์ทางลัดภาษารัสเซียบนแป้นพิมพ์ Cyrillic ซึ่งเพียงชี้ว่าผู้ปฏิบัติการน่าจะพูดรัสเซีย ไม่ได้ระบุตัวบุคคล และโครงสร้างพื้นฐานของ Sophos กับของ Gambit ทับซ้อนกันเพียง IP เดียวที่เกี่ยวกับ SOCKS พร็อกซี การเชื่อมสองชุดข้อมูลเข้าด้วยกันจึงอิงเครื่องมือที่คล้ายกันเป็นหลัก
วิธีการโจมตี
คนให้ทางเข้า AI ทำที่เหลือ — ผู้ปฏิบัติการป้อนสิทธิ์ VPN ที่ขโมยมา เป้าหมาย และสิ่งที่ต้องการให้เอเจนต์ จากนั้นเอเจนต์ทำงานส่วนใหญ่โดยแทบไม่ต้องช่วย นี่คือจุดที่ลดทักษะที่จำเป็นในการเจาะเต็มรูปแบบลง เพราะงานที่เคยต้องใช้ผู้เชี่ยวชาญ Active Directory กลายเป็นงานที่ AI ทำได้
หลบกฎความปลอดภัยด้วยบริบทปลอม — เพื่อไม่ให้โมเดลปฏิเสธ ผู้โจมตีบอกโมเดลว่ากำลังทำงาน red team ที่ได้รับอนุญาต หรือการทดสอบเพื่อวินิจฉัย โมเดลจึงทำตามคำสั่งที่โดยปกติควรถูกปฏิเสธ
สำรวจและไต่สิทธิ์ — เอเจนต์ติดตั้ง VPN client สแกนซับเน็ตด้วย Nmap หรือ NetExec ทำแผนที่โดเมนด้วย BloodHound แล้วลองหลายเส้นทาง ได้แก่ password spraying (ลองรหัสผ่านยอดนิยมกับหลายบัญชี), Kerberoasting (ขอตั๋ว Kerberos ของบัญชีบริการไปแครกรหัสผ่านออฟไลน์), NTLM coercion และ relay ผ่าน PetitPotam, Coerce Plus และ PrinterBug รวมถึงใช้ Certipy โจมตีระบบออกใบรับรอง และดึงรหัสผ่านจากไฟล์และแบ็กอัป
เก็บและขนข้อมูลออก — เอเจนต์ค้นไฟล์แชร์ เอกสารผู้ใช้ ที่เก็บแบ็กอัป และพื้นที่เก็บข้อมูลที่ผูกกับคลาวด์ ผู้ปฏิบัติการใช้เครื่องมืออย่าง SharpShares พักไฟล์ แล้วส่งไปยังที่เก็บข้อมูลแบบ S3 Sophos เห็นผู้ปฏิบัติการรายหนึ่งใช้คำสั่ง VeeamTransport คัดลอกข้อมูลไปยัง bucket บนเซิร์ฟเวอร์ 152.236.4[.]14
ใช้ AI ทดสอบการหลบ EDR — Sophos มั่นใจสูงว่า GOLD OGRE ใช้ AI ทดสอบว่าเครื่องมือหลบการตรวจจับของ EDR ได้ดีแค่ไหนก่อนนำไปใช้จริง แล้วส่งต่อเทคโนโลยีคล้ายกันให้พันธมิตรที่ทำงานกับ Aur0ra
ผลกระทบ
กลุ่มที่เสี่ยงโดยตรง คือ องค์กรที่ใช้ Active Directory และมี VPN ที่ยืนยันตัวตนด้วยรหัสผ่านอย่างเดียว เพราะทางเข้าของกลุ่มนี้ คือ รหัสผ่านที่ขโมยมา เมื่อเอเจนต์ไปถึง Domain Admin ผลลัพธ์ คือ ข้อมูลรั่วและการเข้ารหัสทั้งเครือข่าย รวมถึง ESXi ที่โฮสต์เครื่องเสมือนหลายเครื่องพร้อมกัน
สิ่งที่เปลี่ยนไป คือ ความเร็ว เอเจนต์ลองหลายเส้นทางขนานกันและเปลี่ยนวิธีทันทีเมื่อทางหนึ่งล้มเหลว ช่วงเวลาระหว่างแจ้งเตือนแรกกับการได้สิทธิ์ทั้งโดเมนจึงสั้นลง ทีมที่ตอบสนองแจ้งเตือน EDR ช้าจะเสียเปรียบมากขึ้น
คำแนะนำ
- บังคับ MFA แบบต้านฟิชชิงบน VPN และบริการที่เปิดสู่อินเทอร์เน็ตทุกตัว และแพตช์อุปกรณ์ขอบเครือข่ายให้ทันสมัย
- ตั้งเป้าเวลาตอบสนองแจ้งเตือน EDR ระดับสูงให้สั้นลง และเฝ้าระวังเครื่องมือ NetExec, BloodHound/SharpHound, Certipy, SharpShares และ Cobalt Strike โดยเฉพาะ
- ปิดหรือจำกัดเส้นทาง NTLM relay: เปิด SMB signing และ LDAP signing/channel binding ปิด Print Spooler บน Domain Controller และแพตช์ช่องทาง PetitPotam
- ลดความเสี่ยง Kerberoasting ด้วยการใช้ gMSA หรือรหัสผ่านยาวสุ่มสำหรับบัญชีบริการ และตรวจเทมเพลตใบรับรองของ AD CS ที่ตั้งค่าผิด
- ทบทวนสมาชิก Domain Admin ใช้ระบบจัดการสิทธิ์พิเศษ (PAM) แบ่งโซนเซิร์ฟเวอร์สำคัญ และแยกระบบแบ็กอัปรวมถึงบัญชี Veeam ออกจากโดเมนหลัก
- ใช้ application control กันเครื่องมือเจาะที่ไม่ได้รับอนุญาต และบล็อก IoC ด้านล่างที่ไฟร์วอลล์และ EDR
Indicators of Compromise (IoCs)
ตัวบ่งชี้ถูก defang แล้ว (เช่น [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| IP Address | 152[.]236[.]4[.]14 | เซิร์ฟเวอร์รับข้อมูลที่ขโมยในปฏิบัติการ Aur0ra |
| IP Address | 152[.]236[.]3[.]8 | เซิร์ฟเวอร์สั่งการ Cobalt Strike |
| IP Address | 172[.]86[.]89[.]124 | เซิร์ฟเวอร์สั่งการ Cobalt Strike |
| IP Address | 144[.]172[.]101[.]72 | เซิร์ฟเวอร์สั่งการ Cobalt Strike |
| IP Address | 206[.]223[.]230[.]107 | เซิร์ฟเวอร์สั่งการ Cobalt Strike |
| IP Address | 45[.]59[.]113[.]63 | โหนด SOCKS พร็อกซี |
| IP Address | 172[.]86[.]113[.]245 | เซิร์ฟเวอร์ไดเรกทอรีเปิดที่มีแรนซัมแวร์และบันทึกแชต Cursor |