安全研究机构CloudSEK近日发布报告，披露了黑客组织Aurora（Aur0ra）的内部运作细节。研究人员通过渗透该组织配置出现失误的服务器，获取了其使用的攻击工具、借助AI制定攻击计划的记录，以及用于与受害者协商赎金的管理界面。

调查显示，该黑客组织在攻击规划阶段主要依赖AI编程助手Cursor，但并未利用AI技术直接生成勒索软件。其自研勒索软件基于Zig编程语言开发，目前提供Windows及Linux/ESXi两个版本，这一技术选型在勒索软件生态中较为少见。

在攻击实施层面，Aurora将勒索软件部署于Cloudflare R2公开存储桶中，并利用SCP协议将恶意文件传输至受害主机。CloudSEK指出，这种基础设施选择体现了该组织对云服务特性的利用，同时也暴露出其运维环节的某些疏漏。

公开记录显示，Aurora组织自今年4月开始活跃，截至7月已累计对来自9个国家的20多家企业和组织发起攻击。CloudSEK并未在报告中披露具体受害名单，也未对攻击动机作进一步推测。

此次信息披露再次印证，AI工具在攻击链中的应用正从代码生成向策略规划等更高层次延伸，而攻击者自身的技术栈选择也呈现出多元化趋势。对于防御方而言，理解这些新型攻击者的工具偏好和基础设施模式，或将成为威胁情报工作的关键切入点。