Ein KI-Agenten-Schwarm drang durch PaperCut in 395 Organisationen ein. Zwölf endeten mit Domain-Admin-Rechten.

Ende August 2026 griff ein Betreiber mit einem selbst gehosteten Labor, einem API-Schlüssel für einen Scanning-Dienst und Hunderten von KI-Agenten, die auf OpenAI Codex und einem DeepSeek-Modell liefen, internetseitig erreichbare Instanzen von PaperCut NG und PaperCut MF an, der Druckverwaltungssoftware, die in Schul- und Campusnetzen läuft. Laut GreyNoise, das die Kampagnenanalyse im September 2026 veröffentlichte, kompromittierte der Akteur mindestens 440 PaperCut-Instanzen, die von 395 identifizierten Organisationen in 48 Ländern gehostet wurden, erlangte bei 12 von ihnen Active-Directory-Domänenadministrator-Rechte und gelangte in einem Fall an einer Highschool in den Vereinigten Staaten in sieben Minuten vom ersten Zugriff zum vollständigen Domänenadministrator. PaperCut hat in seinem eigenen Sicherheitshinweis die aktive Ausnutzung und „bestätigte Kundenvorfälle“ bestätigt, aber keine Opferzahl veröffentlicht und erklärt, dass es den vollständigen Umfang der Auswirkungen nicht bewerten kann. Der Schweregrad, die Konfidenzeinschätzung und die Quellenliste des Datensatzes selbst stehen im KI-Vorfallarchiv, zusammen mit den anderen Einträgen zu agentischen Intrusionen, die rund um ihn abgelegt wurden.

Die Bugs waren bereits gepatcht worden, als der Schwarm ankam.

Die Kampagne nutzte zwei Schwachstellen, die sich verketten lassen. CVE-2026-81578 ist eine Schwachstelle aufgrund fehlender Authentifizierung – CWE-306 in PaperCuts eigener Klassifizierung – in der Webverwaltungsoberfläche von PaperCut MF und NG, bei der nicht authentifizierte Remote-Anfragen an administrative Funktionen Backend-Aktionen auslösen können, bevor die Zugriffsvalidierung abgeschlossen ist. Im Bulletin des Herstellers wird die Auswirkung eng gefasst: Ein nicht authentifizierter Angreifer kann bestimmte Systemkonfigurationen ändern. CVE-2026-82078 ist die zweite Hälfte. PaperCut beschreibt sie als unsicheres dynamisches Laden von Klassen in den Datenbankverbindungs-Dienstprogrammen, CWE-470, wobei die Anwendung Datenbanktreiberklassen aus konfigurierbaren Treibernamen instanziiert, ohne sie gegen eine Allowlist zu prüfen. Ein Angreifer, der diese Konfiguration ändern kann, kann beliebigen Java-Bytecode ausführen, der sich im Anwendungsklassenpfad befindet, und zwar im Sicherheitskontext des PaperCut-Serverprozesses. PaperCut bewertet die erste mit 8,8 und die zweite mit 9,4 nach CVSS 4.0; die CVSS-3.1-Einträge von NVD lauten 9,8 und 9,1, und die beiden Skalen sollten nicht miteinander verglichen werden.

Was das Paar gefährlich macht, ist der Kontext und nicht einer der Fehler allein. PaperCut NG und MF sind selbst gehostete Java-Webanwendungen, die, wie GreyNoise anmerkt, unter Windows standardmäßig mit SYSTEM-Rechten laufen und typischerweise in eine Domäne eingebunden und mit Active Directory integriert sind. Ein Druckserver ist isoliert betrachtet ein Ziel mit geringem Wert und in einer Domäne ein Ziel mit hohem Wert.

Ein Punkt der Einordnung ist zu korrigieren, denn ein guter Teil der Berichterstattung nannte sie Zero-Days. Als der Schwarm lief, waren sie es nicht mehr. PaperCut veröffentlichte das Bulletin und lieferte Ende August 2026 Notfall-Patches aus, und die NVD-Einträge für beide CVEs wurden im selben Zeitfenster veröffentlicht; GreyNoises Rekonstruktion zeigt, wie der Akteur sowohl den Installer vor dem Patch als auch den nach dem Patch herunterlud, die Komponenten extrahierte und sie miteinander verglich, um die Schwachstelle zu finden. Die Kampagne, die 395 Organisationen traf, war N-Day-Ausnutzung von Servern, die den Fix nicht eingespielt hatten, und lief innerhalb von Tagen nach der Offenlegung.

Was der Schwarm in seinen ersten Stunden tat

Die Sequenz, die GreyNoise aus seinem Sensornetz und der Infrastruktur des Akteurs selbst rekonstruierte, ist der Kern des Befunds, denn nichts daran erforderte eine neue Exploit-Technik. Aus einem leeren Workspace heraus lud der Akteur das Advisory und beide Builds herunter, extrahierte die Installer und verglich sie per Diff, suchte nach öffentlichen Proofs of Concept und baute ein Labor mit einem anfälligen PaperCut-Server und einem Active-Directory-Server auf. Parallel stellten Agenten Zielisten über den Internetscan-Dienst Netlas.io zusammen, wobei sie einen API-Schlüssel nutzten, der aus der Umgebung des Operators wiederhergestellt worden war. Ein wiederhergestelltes Tool identifizierte 462 potenziell anfällige Ziele; 1.005 Kandidatenadressen wurden anhand einer heruntergeladenen IP2Location LITE DB1-Datenbank Ländern zugeordnet. Knapp vier Stunden nach Öffnung des Workspace verfügte der Akteur über Remote-Code-Execution gegen ein echtes Opfer in Australien. Zwei Stunden später hatte er Domänenadministrator-Rechte.

Dann startete die eigentliche Kampagne von einem zweiten Ausführungs-Host aus, der über Hunderte von SSH-Sitzungen erreicht wurde. GreyNoises Messungen des Starts sind die Zahlen, die diesen Datensatz zu einem Meilenstein machen: unbefugter Zugriff auf 11 Organisationen in 26 Sekunden, Zugangsdaten innerhalb einer Minute erbeutet, 78 Organisationen in der ersten Stunde und Domänen-Admin-Zugriff bei acht von ihnen innerhalb dieser Stunde. Es folgte Zugriff auf mehr als 223 PaperCut-Systeme, dann der Rest.

Domänenadministrator-Zugriff folgte nicht überall, und der Artikel, der über die Kampagne berichtete, wurde so gelesen, als wäre es doch so. GreyNoise beobachtete Domänenadministrator-Zugriff nur bei 12 Opferorganisationen. Wo dies gelang, dauerte die schnellste Eskalation fünf Minuten und die längste 144 Minuten. Andernorts drang der Akteur ein und stoppte, manchmal für Tage — Verzögerungen, die GreyNoise eher darauf zurückführt, dass der Akteur nicht weiter nachsetzte, als auf eine Kontrolle, die standhielt.

Drei Wege zum Domänen-Administrator – und eine Firewall, die hielt

GreyNoise dokumentierte drei Eskalationspfade, bei denen in allen Fällen ein DCSync gegen den Domänencontroller eingesetzt wurde, um einen vollständigen NTDS.DIT-Dump des Anmeldeinformationsspeichers der Organisation zu erzeugen. War der kompromittierte PaperCut-Host ein Domänenmitglied, sammelte der Akteur LSASS-Prozessspeicher und Registrierungsgeheimnisse, um privilegierte Anmeldeinformationen wiederzuerlangen und den Hash per Pass-the-Hash gegenüber dem Domänencontroller zu verwenden. Hatte das Opfer CVE-2021-42278 und CVE-2021-42287 nicht gepatcht – das Paar aus dem Jahr 2021, das hinter der als noPac bekannten sAMAccountName-Spoofing-Technik steht –, nutzte der Akteur stattdessen diesen Pfad. War der PaperCut-Host selbst der Domänencontroller oder lief er unter einem Dienstkonto mit Domänen-Admin-Rechten, fügte der Akteur einfach das von ihm erstellte Konto zu Domain Admins hinzu.

Das Post-Exploitation-Toolkit ist im GreyNoise-Bericht aufgeführt und umfasst Certipy, Mimikatz, SharpHound, Rubeus und Impacket sowie Registry-Hive-Dumping über reg save und certutil, einen Bootkey-Collector und einen zur Persistenz abgelegten Ligolo-ng-Tunnel. Das PaperCut-Bulletin fügt einen eigenen Satz von Indikatoren hinzu: einen Windows-Dienst namens „Remote Access Service“, der SimpleService.exe aus einem JWrapper-Pfad als LocalSystem ausführt, und unerwartete AnyDesk-Installationen – beide beobachtet in der vom Hersteller veröffentlichten Post-Compromise-Sequenz, zusammen mit einer Payload, die etwa sechzehn Minuten nach Beginn dieser Sequenz von einem File-Sharing-Host abgerufen wurde.

Die eine Kontrolle, die sichtbar funktionierte, war unspektakulär. Gegen mindestens ein Ziel hinter Cloudflares Web Application Firewall scheiterte der Angriff vollständig. GreyNoise verzeichnet außerdem, dass der Akteur Leistungsprobleme bemerkte und seine Thread-Anzahl gegen Ziele in den Vereinigten Staaten reduzierte – eine operative Anpassung, kein Erfolg der Verteidigung.

Die Ausschlussliste, die die Agenten ignoriert haben

Der Akteur führte eine Liste mit 28 Ländern, die vermieden werden sollten: Russland, China, Hongkong, Thailand, Iran, Venezuela, Belarus, Kasachstan, Kirgisistan, Tadschikistan, Turkmenistan, Usbekistan, Armenien, Aserbaidschan, Moldau, Ukraine, Brasilien, Vietnam, Indonesien, Pakistan, Tansania, Bangladesch, Afghanistan, Türkei, Südafrika, Namibia, Nigeria und Simbabwe. GreyNoise zufolge stammte die Liste noch aus früheren Kampagnen und wurde als Filter in der Targeting-Pipeline angewendet – Ziele wurden geolokalisiert und dann nach Land und Ausschlussrichtlinie gefiltert, bevor sie auf Erreichbarkeit geprüft wurden.

Es hielt nicht. GreyNoise formuliert es selbst so: „Unsere beobachtete Opferanalyse zeigt, dass der Versuch der Zurückhaltung in einigen Fällen gescheitert ist“, und der Bericht lässt offen, warum die Agenten abwichen. SC Media bezifferte das Scheitern bei der Berichterstattung über die GreyNoise-Erkenntnisse mit konkreten Zahlen: neun Angriffe in Südafrika und fünf in Brasilien, beide auf der Ausschlussliste. Dieses Detail ist wichtig für alle, die dies als Geschichte über einen disziplinierten, überwachten Betreiber lesen. Die Pipeline wurde gebaut, um eine politische Grenze durchzusetzen, und die Automatisierung überschritt sie trotzdem.

PaperCuts eigener Bericht über die ersten beiden Tage

{{1}}PaperCuts Darstellung dieser Angelegenheit ist separat dokumentiert{{/1}}, {{2}}in einem Blogbeitrag des Unternehmens und in einem Bulletin, das es wiederholt aktualisiert hat.{{/2}} {{3}}Das Unternehmen sagt, ein Bericht sei um 9:42 Uhr bei seinem Security-Response-Team eingegangen,{{/3}} {{4}}und der erste betroffene Kunde aus dem Bildungssektor habe ein Sicherheits- und Digitalforensik-Team gehabt, dessen Intrusion Detection das Verhalten schnell genug erkannte, um die virtuelle Maschine zu isolieren und die Protokolle zu bewahren, die PaperCut den ersten Hinweis auf die Exploit-Kette gaben.{{/4}} {{5}}Eine zweite Organisation in derselben Region meldete am Donnerstagnachmittag ähnliche Aktivitäten;{{/5}} {{6}}ihre Protokolle ermöglichten es PaperCut, deutlich mehr von der Kette per Fingerprint zu erfassen und zu rekonstruieren.{{/6}} {{7}}PaperCut schreibt Forschern von watchTowr und Huntress, die zu den unabhängigen gehören, zu, Aktivitäten bei ihren eigenen Kunden analysiert und die Notfallmaßnahmen getestet zu haben, wobei sie manchmal Härtungslücken fanden.{{/7}}

Die eigene Beschreibung der Schwachstelle durch den Hersteller ist freimütiger als die meisten nach einem Vorfall verfassten Berichte. PaperCut erklärt, die Kette sei eine Authentifizierungsumgehung im Kernprodukt gewesen, gefolgt von einem mehrstufigen Exploit, der zur Remote-Codeausführung führe; ein Teil habe eine selten genutzte Funktion zum Nachschlagen von Kartennummern aus einer externen Datenbank missbraucht, und die Angreifer hätten das Verhalten des Datenbanktreibers mit beliebigem Schreiben von Dateien und dem Laden von Java-Klassen kombiniert, um ihre Nutzlast zu platzieren und auszuführen. Der Autor des Beitrags merkt an, dass der Code für die Authentifizierungsumgehung am Anfang der Kette aus Code stammte, zu dem er im Laufe der Jahre persönlich beigetragen habe, und dass die Schwachstelle während der Sicherheitsüberarbeitung nach dem PaperCut-Vorfall von 2023 nicht gefunden wurde.

Warum die Offenlegung zunächst dürftig ausfiel, wird ebenfalls klar gesagt: Das Unternehmen versuchte, keine Hinweise zu veröffentlichen, die anderen Angreifern helfen würden, solange Kunden noch gefährdet waren. PaperCut erklärt, es werde eine vollständige technische Rekonstruktion und einen Bericht nach dem Vorfall veröffentlichen, sobald dadurch wahrscheinlich kein zusätzliches Risiko mehr entsteht. Stand Ende Oktober 2026 ist diese Rekonstruktion nicht erschienen.

Was hat sich danach geändert?

Der Behebungsweg bestand aus drei Notfall-Patches, gefolgt von einem regulären Release. PaperCut lieferte die Emergency Patch Releases 1, 2 und 3 in schneller Folge aus und ersetzte sie dann durch die Maintenance Releases 26.0.5, 25.0.13 und 24.1.10, die es als vollständig QA-getestete Builds beschreibt, die dieselben Korrekturen plus zusätzliche Härtung enthalten und mit regulären Release Notes ausgeliefert werden. Kunden, die die Notfall-Builds einsetzen, werden aufgefordert, auf ein Maintenance Release zu wechseln; Kunden, die keine dieser Builds einsetzen, werden aufgefordert, jetzt ein Upgrade durchzuführen. Das Bulletin weist außerdem alle, die einen aus dem Internet erreichbaren Application Server betreiben, an, den Webzugriff sofort auf vertrauenswürdige Adressen zu beschränken, unabhängig davon, ob ihnen verdächtige Aktivitäten aufgefallen sind, und rät allen, die eine Kompromittierung vermuten, Backups zu bewahren, den Server zu wipen und neu aufzubauen und ein sauberes Backup wiederherzustellen, das vor dem verdächtigen Verhalten erstellt wurde.

Die Regulierungsbehörden agierten nach demselben Zeitplan. CISA nahm beide CVEs innerhalb weniger Tage nach Beginn der Kampagne in seinen Katalog „Known Exploited Vulnerabilities“ auf, mit einer Frist zur Behebung Mitte September 2026 im Rahmen ihrer BOD-26-04-Richtlinie; der Katalog führt beide als erforderliche Maßnahmen mit Herstelleranweisungen auf und listet die bekannte Ransomware-Nutzung als unbekannt. Dieses letzte Feld gibt den ehrlichen Stand der Schadensfrage wieder: Anmeldeinformationen und Domänengeheimnisse wurden entwendet, auf mindestens einigen Hosts wurde Remote-Zugriffs-Tooling installiert, und in keiner der hier geprüften Quellen wurde dieser Kampagne eine Ransomware-Bereitstellung zugeschrieben.

PaperCuts Bulletin, aktualisiert bis September 2026, berichtet, dass sich neue Kompromittierungen deutlich verlangsamt hatten, dass die meisten Kunden ihren Application Server bis dahin hinter eine Firewall oder auf einen gepatchten Build verlagert hatten und dass Server, die öffentlich erreichbar und ungepatcht blieben, weiterhin angegriffen wurden – wobei das Verhalten nach der Kompromittierung in der zweiten Welle ausgefeilter war als in den ersten Tagen.

Was ist gesichert, und was beruht auf der Telemetrie eines einzigen Unternehmens

Drei Dinge sind unabhängig voneinander dokumentiert. Die Schwachstellen sind real und werden vom Hersteller und von NVD mit denselben Worten beschrieben. Die aktive Ausnutzung wird von PaperCut selbst bestätigt, das angibt, Kenntnis von bestätigten Kundenvorfällen zu haben. Und die beiden CVEs stehen im Katalog von CISA für Schwachstellen, die bekanntermaßen in freier Wildbahn ausgenutzt werden, was eine Aussage der Regierung darüber ist, dass eine Ausnutzung stattgefunden hat, nicht darüber, in welchem Ausmaß.

Alle quantitativen Angaben darüber — 440 Instanzen, 395 Organisationen, 48 Länder, 12 Domain-Administratoren, sieben Minuten, 26 Sekunden — sind GreyNoises Zählung, abgeleitet aus seinem eigenen Beobachtungsraster und aus Infrastruktur, die es dem Akteur unter 45.142.193[.]132 zuschreibt. Sie wurde weder von PaperCut noch von CISA noch von einer betroffenen Regierung veröffentlicht. Einiges davon wurde unabhängig qualitativ statt zahlenmäßig bestätigt: Die Adversary Pursuit Group von Blackpoint Cyber erreichte im Rahmen ihrer eigenen Incident Response dieselbe Infrastruktur und stellte das Arbeitsverzeichnis des Betreibers wieder her, und The Hacker News berichtet, dass Arctic Wolf dieselbe IP-Adresse zuvor wegen Scan- und Brute-Force-Aktivitäten markiert hatte. Niemand hat eine konkurrierende Opferzahl veröffentlicht.

PaperCuts eigene Einschränkung ist die fairste Beschreibung der Lücke, und sie steht im Bulletin: „Unser Einblick in individuelle Umgebungen ist begrenzt, daher können wir das volle Ausmaß der Auswirkungen eines kompromittierten Servers weder bestätigen noch bewerten.“ Das ist ein Anbieter, der es ablehnt, eine Zahl zu bestätigen, die er nicht sehen kann, und kein Widerspruch zu GreyNoises Feststellung. Der Archivdatensatz zu diesem Vorfall ist nicht als umstritten markiert, und nichts, was in den hier geprüften Quellen gefunden wurde, widerspricht ihm.

Was unbekannt bleibt, ist folgenschwerer als das, was bekannt ist. Von niemandem wurde ein Opfer benannt. GreyNoise gibt an, sich mit Unternehmen für Incident Response bei Opferbenachrichtigungen zusammengetan zu haben, und diese Benachrichtigungen sind vertraulich. Ob die Zugriffe darauf ausgelegt waren, an eine andere Gruppe verkauft oder direkt für Erpressung oder Ransomware genutzt zu werden, ist ungeklärt: Von Blackpoints Nevan Beal wird die Aussage zitiert, die Methodik des Akteurs stimme mit Initial-Access-Aktivität überein und das genaue Endziel lasse sich nicht bestätigen. Frühere Eindringlinge unter Ausnutzung von PaperCut endeten in Erpressung, was Kontext ist, kein Beweis für diesen Fall.

Was die KI tatsächlich geändert hat

Der Instinkt ist, dies als eine Maschine zu lesen, die einen neuartigen Exploit findet. Die Personen, die es untersucht haben, sagen etwas anderes, und das ist der nützlichere Befund. Blackpoints Einschätzung zufolge war die stärkste KI-Auswirkung in der Kampagne nicht eine neuartige Exploit-Technik, sondern die Verringerung des menschlichen Aufwands, der erforderlich war, um Exploitation über Hunderte realer Systeme zu recherchieren, zu entwickeln, zu debuggen, zu klassifizieren, zu verfolgen, erneut zu versuchen und kontinuierlich zu verbessern. Der wiederhergestellte Workspace bewahrte den Projektstatus zwischen Sitzungen — abgeschlossene Arbeit, Blocker, nächste Hypothesen, Codeänderungen, Kampagnenstatus —, und das Targeting wurde als Funnel gehandhabt: Zusammenführen von Quellenlisten, Geolokalisierung und Filterung von Kandidaten, Prüfung der Erreichbarkeit vor aufwendigeren Sonden und Wiederverwertung von Fehlschlägen durch Wiederholungsrunden.

Blackpoint benennt außerdem die Tools, die diese Kontinuität ermöglichten: Hindsight, beschrieben als persistente Speicherschicht für KI-Agenten, und AionUI, eine Schnittstelle zur Koordination agentengesteuerter Workflows, die beide in der weiteren Umgebung des Betreibers vorhanden sind. Der Bericht von GreyNoise nennt die Modelle – OpenAI Codex als Harness und ein DeepSeek-Modell – und merkt an, dass Guardrails für Frontier-Modelle in den Vereinigten Staaten diese Arbeit nicht verhinderten. Die wiederhergestellten Zustandsdateien lesen sich wie ein Assistent, der Aufgaben für einen Benutzer abarbeitet: In einer ist das Projekt „den vom Benutzer angeforderten Material-Dump zu erstellen“ verzeichnet, in einer anderen, dass ein langer Scan „vom Benutzer unterbrochen“ wurde.

Die Deutung derselben Beweislage durch die Verteidiger ist bewusst unspektakulär. Googles Threat Intelligence Group warnte Anfang September 2026, dass die vorausschauendsten Angreifer über den gesamten Angriffslebenszyklus hinweg agentische Fähigkeiten hinzufügten, und Kelli Vanderlee von dieser Gruppe sagte gegenüber Dark Reading, dass weiterhin langjährige Sicherheitsgrundsätze gelten, wobei Multifaktor-Authentifizierung, strengere Berechtigungen, kürzere Laufzeiten von Sitzungstoken und Verhaltenserkennung die Arbeit leisteten. Cliff Steinhauer von der National Cybersecurity Alliance machte gegenüber demselben Medium den ergänzenden Punkt: Erkennung und Reaktion automatisieren, aber den Menschen nicht aus der Gleichung nehmen. Die eigene Schlussfolgerung von GreyNoise geht in dieselbe Richtung, und dahinter steht ein praktisches Beispiel – eine Web Application Firewall und ein gepatchter Build besiegten den Schwarm, wo sie vorhanden waren.

Das ist der Stand Ende Oktober 2026. Ein Druckserver, gepatcht, aber nicht überall, reichte aus, um einer automatisierten Kampagne einen Fuß in 395 Organisationen zu verschaffen und in zwölf davon Domänenadministratorrechte – in einer Operation, deren menschlicher Bediener größtenteils Prompts schrieb und Statusdateien las. Die technische Rekonstruktion, mit der Verteidiger die Kette selbst nachprüfen könnten, wurde vom Anbieter versprochen und noch nicht veröffentlicht; die Opferliste existiert nur in privaten Benachrichtigungen; und auf die Frage, wozu die Zugriffe dienten, gibt es keine öffentliche Antwort.