Aur0ra-Hackergruppe: KI-Agent Cursor automatisiert Angriffe
Veröffentlicht am: 30.08.2026 um 18:23 Uhr | Redaktion boerse-global.de
Die russischsprachige Hackergruppe Aur0ra hat unter Einsatz des KI-basierten Code-Editors Cursor gezielte Angriffe auf internationale Unternehmen durchgeführt, darunter den deutschen Türenhersteller Teckentrup. Berichten zufolge wurden neben dem westfälischen Unternehmen mindestens sechs weitere Organisationen in Belgien, den USA, Schottland, Italien und Argentinien zum Ziel der Cyberkriminellen.
Zwischen dem 8. April und dem 21. Mai 2026 drangen die als Ransomware-Affiliate eingestuften Akteure bei mindestens sieben Unternehmen ein. Dabei griffen sie auf den sogenannten Cursor Agent zurück, der auf dem Modell Claude Sonnet von Anthropic basiert.
Die Gruppe tarnte ihre Aktivitäten während der Infiltration als Simulation und Test, während die künstliche Intelligenz hunderte von Aktionen automatisiert ausführte. Branchenbeobachter stellten fest, dass der Einsatz der KI den Angreifern bei diesen Live-Einbrüchen einen Geschwindigkeitsvorteil von 30–50 % gegenüber herkömmlichen Methoden verschaffte.
Fokus auf den Fertigungssektor und kritische Infrastrukturen
Zu den namentlich identifizierten Opfern zählen neben Teckentrup der belgische Spezialchemiehersteller Christeyns, die schottische Helideck Certification Agency sowie das US-Unternehmen Bayou Title. In weiteren Analysen ist von insgesamt bis zu 20 betroffenen Organisationen in neun Ländern die Rede, darunter auch Ziele in Österreich, Spanien und Israel. Der Fertigungssektor erwies sich in diesem Zeitraum als die am stärksten betroffene Branche.
Der Einsatz von künstlicher Intelligenz bei Cyberangriffen stellt Unternehmen vor völlig neue Herausforderungen und rechtliche Pflichten. Dieser kostenlose Report klärt auf, welche neuen Cyberrisiken und gesetzlichen Anforderungen Sie jetzt kennen müssen. Cyber Security Trends und neue KI-Gesetze jetzt kostenlos herunterladen
Die Angriffe verursachten nach vorliegenden Informationen wirtschaftliche Schäden und führten zum Diebstahl personenbezogener Daten. Dokumentationen des Vorfalls weisen zudem auf Versuche hin, die betroffenen Unternehmen zu erpressen, wobei diese Versuche in den untersuchten Fällen als gescheitert eingestuft werden.
Automatisierung der Angriffskette
Die technische Untersuchung der Vorfälle durch Sicherheitsanalysten verdeutlicht den hohen Grad der Automatisierung. Die künstliche Intelligenz unterstützte die Angreifer maßgeblich bei der Aufklärung (Reconnaissance), der Installation von VPN-Zugängen sowie bei Angriffen auf Sicherheitszertifikate.
Die Gruppe setzte zudem eine spezialisierte Linux-Variante ihrer Ransomware ein, die gezielt auf Virtualisierungsumgebungen vom Typ VMware ESXi ausgerichtet ist.
Da Angreifer ihre Methoden immer weiter automatisieren, wird die proaktive Absicherung der eigenen IT-Infrastruktur für Betriebe überlebenswichtig. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken ohne teure Investitionen schließen und Ihr Unternehmen langfristig schützen. Gratis E-Book: Strategien gegen moderne Cyberangriffe sichern
Dieser Verschlüsseler nutzt die Algorithmen ChaCha20 und RSA-4096, um Dateien virtueller Maschinen auf den Servern unbrauchbar zu machen. Dabei geht die Schadsoftware selektiv vor und überspringt Systemvolumes, um die Stabilität des Host-Systems während des Verschlüsselungsvorgangs nicht zu gefährden.
Berichte über die Aktivitäten der seit Frühjahr aktiven Gruppe dokumentieren zwei getrennte Angriffswellen, die sich gegen unterschiedliche Cluster von Organisationen in Europa, Nord- und Südamerika sowie im Nahen Osten richteten. Die Vorfälle unterstreichen die wachsende Bedeutung von KI-Werkzeugen als unterstützende Technologie bei komplexen Cyberangriffen auf die industrielle Lieferkette.
