事件主旨:
【數聯資安】資安預警通報：勒索軟體Aurora利用AI Coding工具進行勒索行為
內容說明:
資安業者CloudSEK 揭露 Aurora 勒索軟體的實際攻擊活動。研究人員因攻擊者誤將基礎設施設定為可公開存取的Open Directory，而取得其攻擊工具、操作紀錄、AI 工具互動紀錄及Aurora 加密器等內容，進而還原其完整入侵流程。相關紀錄顯示，攻擊者於 2026年4月至7月間至少入侵20個以上組織，並對多個目標取得網域層級或互動式存取權限，部分受害者後續亦出現在Aurora 勒索軟體的資料外洩網站。
攻擊者取得企業環境存取權限後，會大量進行 Active Directory 偵察與帳號攻擊，包括 LDAP／SMB 列舉、AS-REP Roasting、Kerberoasting、Domain Controller 探查與網域管理員識別，並進一步利用 Active Directory Certificate Services（ADCS）設定漏洞、NTLM Relay等方式進行權限提升。在部分案例中，攻擊者已成功取得 Domain Administrator Kerberos Ticket、krbtgt 相關資料、Azure AD Connect 同步帳號 Hash，以及 Group Policy 與 SYSVOL 等高度敏感資訊，代表其可能具備進一步掌控整體網域及建立長期存取的能力。攻擊過程大量使用Cursor等AI Coding助理針對不同受害環境規劃ADCS利用流程、權限提升方式與後續攻擊步驟，大幅降低勒索攻擊門檻。
完成權限提升與內網偵察後，攻擊者會進一步蒐集企業內部敏感資料，將大量資料切割成大型壓縮檔後對外傳輸，作為後續勒索的籌碼。資料外洩完成後，Aurora攻擊者可針對 Windows 與 Linux與ESXi 環境部署加密器造成系統與服務大規模中斷。攻擊者除了透過檔案與系統加密迫使受害組織運作受阻，亦以竊取的敏感資料要求受害者支付贖金以換取解密及避免資料外洩，因此即使企業有完善備份機制，若敏感資料已遭外傳，仍可能面臨營運中斷、商業機密及個資外洩、後續勒索等多重風險。
風險等級:
1
建議措施:
1. 僅允許指定管理主機使用 Windows Remote Management（WinRM），限制一般使用者工作站或非管理網段直接連線至伺服器，降低攻擊者取得帳號後利用 WinRM 進行橫向移動（Lateral Movement）的可能性。
2. 檢視 Active Directory 與 ADCS 安全設定，優先確認是否存在 ESC1、ESC6、ESC8 類型設定錯誤。
3. 若網域疑似遭受入侵，應將用於Kerberos 驗證服務的krbtgt帳號密碼重設。
4. 備份平台應與正式環境使用不同帳號與網路區段，避免直接共用高權限帳號。
5. 盡速安排汰換已終止支援（End-of-Life，EOL）的作業系統；若短期內無法汰換，應進行網路隔離並限制 SMB 存取。