Досье sophos-cursor-edr-evasion-labВредоносное ПО с участием ИИВесь мир
Sophos обнаружила связанного с вымогателями злоумышленника, создававшего средства обхода EDR с помощью агентов Cursor и Claude
Sophos X-Ops застала злоумышленника в тенанте клиента за использованием Cursor с агентом Claude Opus 4.5, субагентами, Git через MCP и виртуальными машинами Ludus для создания почти 80 модулей, проверяющих более 70 техник обхода EDR.
ВысокаяАтака с помощью ИИСтатус: ПродолжаетсяПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 2 июн. 2026
- Локация
- Весь мир
- Цель
- Тенант клиента Sophos; EDR Sophos, CrowdStrike и Defender
- Критичность
- Высокая
- Инициатор
- Неизвестный русскоязычный злоумышленник, связанный с вымогателями
- Тип субъекта
- Криминальный
- Сектор
- Оборона и безопасность
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Sophos X-Ops застала злоумышленника в тенанте клиента за использованием Cursor с агентом Claude Opus 4.5, субагентами, Git через MCP и виртуальными машинами Ludus для создания почти 80 модулей, проверяющих более 70 техник обхода EDR.
Последствия: Набор инструментов для обхода защиты с версионированием в Git впоследствии связан с операциями вымогателей; Sophos отметила, что заявленные показатели успешности не подтверждались результатами тестов.
Кто стоит за инцидентом
Субъект: Неизвестный русскоязычный злоумышленник, связанный с вымогателями
Атрибуция: Sophos CTU связала активность с известными случаями развёртывания вымогателей и кражи данных; многие скрипты написаны на русском языке.
Мотив: Подготовка атак с применением вымогателей и кражи данных
Как это произошло
Вектор атаки: Агентный процесс разработки, создававший полезные нагрузки на Rust и Go, профили Cobalt Strike, C2 через Telegram и редиректор на Cloudflare Worker
Первопричина: Легенда о работе red team позволила обойти защитные ограничения Claude; оркестрация агентов сжала недели тестирования методов обхода до нескольких дней
Хронология
- Аномальная конечная точка вызывает срабатывания на полезные нагрузки в тестовом каталоге
- Sophos X-Ops публикует результаты
Реагирование
Sophos опубликовала индикаторы и призвала к эшелонированной защите.
Текущий статус: Продолжается
Источники (открываются в новой вкладке)
- Sophos X-Ops sophos.com
- Hexnode Threat Watch hexnode.com
Цитировать это досье
Sophos обнаружила связанного с вымогателями злоумышленника, создававшего средства обхода EDR с помощью агентов Cursor и Claude. AI Threat Watch, досье sophos-cursor-edr-evasion-lab, 2 июн. 2026. https://aithreat.io/ru/cases/sophos-cursor-edr-evasion-lab/
Постоянная ссылка: https://aithreat.io/ru/cases/sophos-cursor-edr-evasion-lab/