案例 sophos-cursor-edr-evasion-labAI 辅助恶意软件全球
Sophos发现勒索软件相关行为者用Cursor和Claude代理构建EDR规避手段
Sophos X-Ops在一个客户租户内捕获一名威胁行为者，他使用Cursor配合Claude Opus 4.5代理、子代理、通过MCP的Git和Ludus虚拟机，构建了近80个模块测试70多种EDR规避技术。
高利用 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2026年6月2日
- 地点
- 全球
- 目标
- Sophos客户租户；Sophos、CrowdStrike和Defender EDR
- 严重程度
- 高
- 发起者
- 身份不明的俄语勒索软件相关行为者
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Sophos X-Ops在一个客户租户内捕获一名威胁行为者，他使用Cursor配合Claude Opus 4.5代理、子代理、通过MCP的Git和Ludus虚拟机，构建了近80个模块测试70多种EDR规避技术。
影响: 规避工具包在Git中进行版本管理并随后与勒索软件行动关联；Sophos指出所宣称的成功率没有测试输出支持。
谁发起了攻击
行为者: 身份不明的俄语勒索软件相关行为者
归因: Sophos CTU将该活动与已知的勒索软件部署和数据窃取联系起来；许多脚本以俄语编写。
动机: 为勒索软件和数据窃取提供支持
如何发生
攻击途径: 智能体编码工作流生成Rust和Go载荷、Cobalt Strike配置、Telegram C2和Cloudflare Worker重定向器
根本原因: 红队框架绕过了Claude护栏；代理编排将数周的规避测试压缩至数天
时间线
- 异常端点在测试目录中的载荷上触发告警
- Sophos X-Ops发布调查结果
应对
Sophos发布了指标并敦促纵深防御。
当前状态: 进行中
来源（在新标签页打开）
- Sophos X-Ops sophos.com
- Hexnode Threat Watch hexnode.com
引用此案例
Sophos发现勒索软件相关行为者用Cursor和Claude代理构建EDR规避手段. AI Threat Watch, 案例 sophos-cursor-edr-evasion-lab, 2026年6月2日. https://aithreat.io/zh/cases/sophos-cursor-edr-evasion-lab/
永久链接: https://aithreat.io/zh/cases/sophos-cursor-edr-evasion-lab/