Aurora

Ficha

Aurora es un grupo de ransomware con actividad documentada públicamente desde abril de 2026, cuando se le atribuyó una campaña que afectó a alrededor de diez organizaciones entre el 8 de abril y el 26 de mayo de ese año. Sus víctimas conocidas se reparten por varios países —Israel, Alemania, Austria, España, Estados Unidos y Argentina— sin un sector claramente predominante. Opera principalmente con accesos basados en credenciales y actividad posterior al compromiso: reconocimiento de la red, movimiento lateral y ataques contra la infraestructura de certificados antes del cifrado. Lo que lo distingue es el uso de agentes de inteligencia artificial (Cursor Agent y el modelo Claude Sonnet) como apoyo a tareas de reconocimiento, instalación de clientes VPN y ataques de certificados, combinado con una variante de ransomware para Linux capaz de atacar entornos de virtualización VMware ESXi.

Activo desde: 2026-04

Acceso inicial

• Acceso mediante credenciales válidas
• Actividad posterior al compromiso (uso de accesos ya obtenidos para extenderse por la red)

Herramientas

Cursor Agent (agente de IA), Claude Sonnet (modelo de IA), NetExec, BloodHound, Nmap, Certipy, PetitPotam, PrinterBug, Coerce Plus, esxi_finder.py, proxychains, Variante de ransomware para Linux/ESXi

Qué vigilar

• Reforzar la infraestructura de certificados de Active Directory (AD CS): revisar plantillas de certificados mal configuradas y vigilar emisiones o solicitudes anómalas, dado el uso de Certipy.
• Mitigar los ataques de coerción de autenticación NTLM (PetitPotam, PrinterBug, Coerce Plus): aplicar los parches del servicio de cola de impresión y de EFS, habilitar la protección extendida de la autenticación y la firma SMB/LDAP.
• Proteger los hosts VMware ESXi: restringir el acceso administrativo y SSH, segmentar la red de gestión y mantener copias de seguridad aisladas e inmutables, ya que el grupo dispone de un cifrador específico para Linux/ESXi y de utilidades para localizar hipervisores.
• Detectar herramientas de reconocimiento y movimiento lateral (NetExec, BloodHound, Nmap, proxychains) y la instalación no autorizada de clientes VPN en servidores y estaciones de trabajo.
• Definir una política sobre agentes de IA y herramientas de desarrollo asistido (tipo Cursor Agent) en equipos corporativos, controlando su instalación y registrando su uso para detectar actividad no legítima.

Mitigaciones prioritarias

Mitigaciones de MITRE ATT&CK que cubren más técnicas de las que usa este grupo.

1. Gestión de cuentas de usuario (3 técnicas cubiertas)
2. Restringir permisos de ficheros y carpetas (3 técnicas cubiertas)
3. Prevención de intrusiones en red (3 técnicas cubiertas)
4. Prevención de comportamientos en el endpoint (3 técnicas cubiertas)
5. Gestión de cuentas privilegiadas (2 técnicas cubiertas)
6. Filtrar el tráfico de red (2 técnicas cubiertas)
7. Auditoría (2 técnicas cubiertas)
8. Prevención de fuga de datos (DLP) (2 técnicas cubiertas)

Técnicas MITRE ATT&CK

Víctimas recientes

Fuentes analizadas

• Threat Actors Abuse Cursor Agent AI to Assist Ransomware Operations (Infosecurity Magazine, 28/8/2026)