Dossier sophos-cursor-edr-evasion-labMalware assisté par IAMondial
Sophos surprend un acteur lié au ransomware bâtissant des évasions EDR avec Cursor et Claude
Sophos X-Ops a surpris un acteur malveillant dans le locataire d'un client utilisant Cursor avec un agent Claude Opus 4.5, des sous-agents, Git via MCP et des VM Ludus pour construire près de 80 modules testant plus de 70 techniques d'évasion EDR.
ÉlevéeAttaque avec l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 2 juin 2026
- Lieu
- Mondial
- Cible
- Locataire d'un client Sophos ; EDR de Sophos, CrowdStrike et Defender
- Gravité
- Élevée
- Déclenché par
- Acteur russophone inconnu lié au ransomware
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Sophos X-Ops a surpris un acteur malveillant dans le locataire d'un client utilisant Cursor avec un agent Claude Opus 4.5, des sous-agents, Git via MCP et des VM Ludus pour construire près de 80 modules testant plus de 70 techniques d'évasion EDR.
Impact: Boîte à outils d'évasion versionnée dans Git et plus tard reliée à des opérations de ransomware ; Sophos note que les taux de succès revendiqués n'étaient pas étayés par les résultats des tests.
Qui l’a déclenché
Acteur: Acteur russophone inconnu lié au ransomware
Attribution: Le CTU de Sophos a relié l'activité à des déploiements de ransomware et des vols de données connus ; de nombreux scripts étaient écrits en russe.
Mobile: Préparation d'opérations de ransomware et de vol de données
Comment c’est arrivé
Vecteur d’attaque: Flux de codage agentique produisant des charges en Rust et Go, des profils Cobalt Strike, un C2 Telegram et un redirecteur Cloudflare Worker
Cause racine: La mise en scène red team a contourné les garde-fous de Claude ; l'orchestration d'agents a compressé des semaines de tests d'évasion en quelques jours
Chronologie
- Un poste anormal déclenche des alertes sur des charges dans un répertoire de test
- Sophos X-Ops publie ses conclusions
Réponse
Sophos a publié des indicateurs et appelé à une défense en profondeur.
Statut actuel: En cours
Sources (nouvel onglet)
- Sophos X-Ops sophos.com
- Hexnode Threat Watch hexnode.com
Citer ce dossier
Sophos surprend un acteur lié au ransomware bâtissant des évasions EDR avec Cursor et Claude. AI Threat Watch, dossier sophos-cursor-edr-evasion-lab, 2 juin 2026. https://aithreat.io/fr/cases/sophos-cursor-edr-evasion-lab/
Lien permanent: https://aithreat.io/fr/cases/sophos-cursor-edr-evasion-lab/