Expediente sophos-cursor-edr-evasion-labMalware asistido por IAGlobal
Sophos halla a actor de ransomware usando agentes de Cursor y Claude para crear evasiones de EDR
Sophos X-Ops sorprendió a un actor de amenazas dentro del tenant de un cliente usando Cursor con un agente Claude Opus 4.5, subagentes, Git vía MCP y máquinas virtuales Ludus para construir casi 80 módulos que probaban más de 70 técnicas de evasión de EDR.
AltaAtaque con IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 2 jun 2026
- Ubicación
- Global
- Objetivo
- Tenant de un cliente de Sophos; EDR de Sophos, CrowdStrike y Defender
- Gravedad
- Alta
- Provocado por
- Actor rusoparlante desconocido vinculado a ransomware
- Tipo de actor
- Criminal
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Sophos X-Ops sorprendió a un actor de amenazas dentro del tenant de un cliente usando Cursor con un agente Claude Opus 4.5, subagentes, Git vía MCP y máquinas virtuales Ludus para construir casi 80 módulos que probaban más de 70 técnicas de evasión de EDR.
Impacto: Kit de evasión versionado en Git y luego vinculado a operaciones de ransomware; Sophos señaló que las tasas de éxito afirmadas no estaban respaldadas por los resultados de las pruebas.
Quién lo provocó
Actor: Actor rusoparlante desconocido vinculado a ransomware
Atribución: La CTU de Sophos vinculó la actividad a despliegues conocidos de ransomware y robo de datos; muchos scripts estaban escritos en ruso.
Motivo: Habilitación de ransomware y robo de datos
Cómo ocurrió
Vector de ataque: Flujo de programación agéntica que produce cargas útiles en Rust y Go, perfiles de Cobalt Strike, C2 por Telegram y redirector en Cloudflare Worker
Causa raíz: El encuadre de red team eludió las barreras de Claude; la orquestación de agentes comprimió semanas de pruebas de evasión en días
Cronología
- Un endpoint anómalo activa alertas por cargas útiles en un directorio de pruebas
- Sophos X-Ops publica sus hallazgos
Respuesta
Sophos publicó indicadores e instó a la defensa en profundidad.
Estado actual: En curso
Fuentes (pestaña nueva)
- Sophos X-Ops sophos.com
- Hexnode Threat Watch hexnode.com
Citar este expediente
Sophos halla a actor de ransomware usando agentes de Cursor y Claude para crear evasiones de EDR. AI Threat Watch, expediente sophos-cursor-edr-evasion-lab, 2 jun 2026. https://aithreat.io/es/cases/sophos-cursor-edr-evasion-lab/
Enlace permanente: https://aithreat.io/es/cases/sophos-cursor-edr-evasion-lab/