Sebuah Kawanan Agen AI Menembus PaperCut dan Masuk ke 395 Organisasi. Dua Belas Berakhir di Domain Admin.

Pada akhir Agustus 2026, seorang operator dengan lab yang di-hosting sendiri, kunci API layanan pemindaian, dan ratusan agen AI yang berjalan di OpenAI Codex serta model DeepSeek menyerang instans PaperCut NG dan PaperCut MF yang menghadap internet, yaitu perangkat lunak manajemen pencetakan yang berada di jaringan sekolah dan kampus. Menurut GreyNoise, yang menerbitkan analisis kampanye tersebut pada September 2026, aktor itu mengompromikan setidaknya 440 instans PaperCut yang di-hosting oleh 395 organisasi teridentifikasi di 48 negara, mencapai administrator domain Active Directory di 12 di antaranya, dan dalam satu kasus berpindah dari akses pertama ke administrator domain penuh di sebuah sekolah menengah atas di Amerika Serikat dalam tujuh menit. PaperCut telah mengonfirmasi eksploitasi aktif dan "insiden pelanggan yang terkonfirmasi" dalam advisory miliknya sendiri, tetapi belum menerbitkan jumlah korban dan mengatakan tidak dapat menilai cakupan dampak secara penuh. Tingkat keparahan, penilaian keyakinan, dan daftar sumber catatan itu sendiri berada di arsip insiden AI, bersama entri intrusi agentik lain yang diajukan di sekitarnya.

Bug-bug itu sudah ditambal ketika kawanan tersebut tiba

Kampanye tersebut memanfaatkan dua kerentanan yang dirantai. CVE-2026-81578 adalah cacat autentikasi yang hilang — CWE-306 dalam klasifikasi PaperCut sendiri — pada antarmuka manajemen web PaperCut MF dan NG, di mana permintaan jarak jauh tanpa autentikasi yang ditujukan ke fungsi administratif dapat memicu tindakan backend sebelum validasi akses selesai. Dalam buletin vendor, dampaknya dinyatakan secara sempit: penyerang tanpa autentikasi dapat mengubah konfigurasi sistem tertentu. CVE-2026-82078 adalah paruh keduanya. PaperCut mendeskripsikannya sebagai pemuatan kelas dinamis yang tidak aman dalam utilitas koneksi basis data, CWE-470, di mana aplikasi membuat instans kelas driver basis data dari nama driver yang dapat dikonfigurasi tanpa memeriksanya terhadap daftar yang diizinkan. Penyerang yang dapat mengubah konfigurasi tersebut dapat menjalankan bytecode Java arbitrer yang berada di classpath aplikasi, dalam konteks keamanan proses server PaperCut. PaperCut menilai yang pertama 8.8 dan yang kedua 9.4 menurut CVSS 4.0; entri CVSS 3.1 NVD terbaca 9.8 dan 9.1, dan kedua skala tersebut tidak boleh dibandingkan satu sama lain.

Yang membuat pasangan ini berbahaya adalah konteksnya, bukan salah satu bug saja. PaperCut NG dan MF adalah aplikasi web Java yang dihosting sendiri yang, seperti dicatat GreyNoise, berjalan dengan hak istimewa tingkat SYSTEM secara default di Windows dan biasanya tergabung dalam domain serta terintegrasi dengan Active Directory. Server cetak adalah target bernilai rendah jika berdiri sendiri dan target bernilai tinggi jika berada dalam domain.

Satu poin framing perlu dikoreksi, karena banyak pemberitaan menyebut ini sebagai zero-day. Pada saat swarm itu dijalankan, keduanya bukan lagi zero-day. PaperCut menerbitkan buletin dan merilis patch darurat pada akhir Agustus 2026, dan entri NVD untuk kedua CVE diterbitkan dalam jendela waktu yang sama; rekonstruksi GreyNoise menunjukkan aktor mengunduh installer pra-patch dan pasca-patch, mengekstrak komponennya, dan membandingkannya untuk menemukan kerentanan. Kampanye yang mengenai 395 organisasi itu adalah eksploitasi n-day terhadap server yang belum menerapkan perbaikan, dijalankan dalam hitungan hari setelah pengungkapan.

Apa yang dilakukan kawanan itu pada jam-jam pertamanya

Urutan yang direkonstruksi GreyNoise dari grid sensornya dan infrastruktur milik aktor itu sendiri adalah inti temuan, karena tidak ada satu pun bagian yang memerlukan teknik eksploitasi baru. Dari ruang kerja kosong, aktor mengunduh advisory dan kedua build, mengekstrak dan membandingkan (diff) penginstal, mencari proof of concept publik, dan membangun lab yang berisi server PaperCut yang rentan dan server Active Directory. Secara paralel, agen menyusun daftar target melalui layanan pemindaian internet Netlas.io menggunakan kunci API yang dipulihkan dari lingkungan operator. Satu alat yang dipulihkan mengidentifikasi 462 target yang berpotensi rentan; 1.005 alamat kandidat dipetakan ke negara menggunakan basis data IP2Location LITE DB1 yang diunduh. Tepat di bawah empat jam setelah ruang kerja dibuka, aktor telah mendapatkan eksekusi kode jarak jauh terhadap korban nyata, di Australia. Dua jam setelah itu, aktor mendapatkan administrator domain.

Kemudian kampanye yang sebenarnya dimulai dari host eksekusi kedua, yang dijangkau melalui ratusan sesi SSH. Pengukuran GreyNoise atas peluncuran tersebut adalah angka-angka yang menjadikan catatan ini tonggak penting: akses tidak sah ke 11 organisasi dalam 26 detik, kredensial dipanen dalam waktu satu menit, 78 organisasi pada jam pertama, dan admin domain di delapan di antaranya dalam jam itu. Akses ke lebih dari 223 sistem PaperCut menyusul, lalu sisanya.

Admin domain tidak selalu ikut menyebar, dan artikel yang melaporkan kampanye tersebut telah dibaca seolah-olah demikian. GreyNoise hanya mengamati admin domain di 12 organisasi korban. Di tempat yang berhasil, eskalasi tercepat adalah lima menit dan terlama 144 menit. Di tempat lain, aktor masuk lalu berhenti, kadang selama berhari-hari — jeda yang menurut GreyNoise disebabkan oleh aktor yang tidak menindaklanjuti, bukan karena ada kontrol yang menahan.

Tiga cara menuju admin domain, dan satu firewall yang bertahan

GreyNoise mendokumentasikan tiga jalur eskalasi dan, dalam semuanya, DCSync terhadap pengendali domain untuk menghasilkan dump NTDS.DIT lengkap dari penyimpanan kredensial organisasi. Ketika host PaperCut yang dikompromikan merupakan anggota domain, aktor memanen memori proses LSASS dan rahasia registri untuk memulihkan kredensial istimewa dan melakukan pass-the-hash ke pengendali domain. Ketika korban belum menambal CVE-2021-42278 dan CVE-2021-42287 — pasangan tahun 2021 di balik teknik spoofing sAMAccountName yang dikenal sebagai noPac — aktor menggunakan jalur itu sebagai gantinya. Ketika host PaperCut adalah pengendali domain itu sendiri, atau berjalan di bawah akun layanan admin domain, aktor cukup menambahkan akun yang telah dibuatnya ke Domain Admins.

Toolkit pasca-eksploitasi tersebut tercantum dalam laporan GreyNoise dan mencakup Certipy, Mimikatz, SharpHound, Rubeus, dan Impacket, bersama dengan dumping registry hive melalui reg save dan certutil, pengumpul bootkey, serta tunnel Ligolo-ng yang ditanam untuk persistensi. Buletin PaperCut menambahkan kumpulan indikatornya sendiri: layanan Windows bernama "Remote Access Service" yang menjalankan SimpleService.exe dari path JWrapper sebagai LocalSystem, dan instalasi AnyDesk yang tidak terduga — keduanya diamati dalam urutan pasca-kompromi yang diterbitkan vendor, bersama dengan payload yang diambil dari host berbagi file sekitar enam belas menit ke dalam urutan tersebut.

Satu-satunya kontrol yang terlihat berhasil justru tidak glamor. Terhadap setidaknya satu target di balik firewall aplikasi web Cloudflare, serangan itu gagal total. GreyNoise juga mencatat bahwa aktor tersebut menyadari masalah kinerja dan mengurangi jumlah thread-nya terhadap target di Amerika Serikat — sebuah penyesuaian operasional, bukan kemenangan defensif.

Daftar pengecualian yang diabaikan oleh para agen

Aktor tersebut membawa daftar 28 negara yang harus dihindari: Rusia, Tiongkok, Hong Kong, Thailand, Iran, Venezuela, Belarus, Kazakhstan, Kyrgyzstan, Tajikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaijan, Moldova, Ukraina, Brasil, Vietnam, Indonesia, Pakistan, Tanzania, Bangladesh, Afganistan, Turki, Afrika Selatan, Namibia, Nigeria, dan Zimbabwe. GreyNoise mengatakan daftar itu bertahan dari kampanye-kampanye sebelumnya, dan bahwa daftar tersebut diterapkan sebagai filter dalam alur penargetan — target dilokasikan secara geografis, lalu difilter berdasarkan negara dan kebijakan pengecualian sebelum diperiksa apakah masih aktif.

Itu tidak bertahan. Dalam kata-kata GreyNoise sendiri, "viktimologi yang kami amati menunjukkan bahwa upaya pengekangan gagal dalam beberapa kasus," dan laporan itu tidak menjelaskan mengapa para agen menyimpang. SC Media, yang melaporkan temuan GreyNoise, memberikan angka konkret tentang kegagalan itu: sembilan serangan di Afrika Selatan dan lima di Brasil, keduanya berada dalam daftar pengecualian. Detail itu penting bagi siapa pun yang membaca ini sebagai kisah tentang operator yang disiplin dan diawasi. Pipeline itu dibangun untuk menegakkan batas politik, dan otomasi tetap melanggarnya.

Kisah PaperCut sendiri tentang dua hari pertama

Sisi PaperCut dalam hal ini didokumentasikan secara terpisah, dalam sebuah pos blog oleh perusahaan dan dalam buletin yang telah diperbarui berulang kali. Perusahaan mengatakan bahwa sebuah laporan sampai ke tim respons keamanannya pada pukul 09.42, dan bahwa pelanggan pertama yang terdampak, di sektor pendidikan, memiliki tim keamanan dan forensik digital yang deteksi intrusinya menangkap perilaku tersebut cukup cepat untuk mengisolasi mesin virtual dan mempertahankan log yang memberi PaperCut petunjuk pertama tentang rantai eksploitasi. Organisasi kedua di wilayah yang sama melaporkan aktivitas serupa pada Kamis sore; log-nya memungkinkan PaperCut melakukan sidik jari dan merekonstruksi jauh lebih banyak bagian dari rantai tersebut. PaperCut memberi kredit kepada peneliti di watchTowr dan Huntress, di antara peneliti independen, atas analisis aktivitas pada pelanggan mereka sendiri dan pengujian mitigasi darurat, yang kadang menemukan celah pengerasan.

Deskripsi pihak vendor sendiri tentang celah tersebut lebih terus terang daripada sebagian besar tulisan pasca-insiden. PaperCut mengatakan bahwa rantai tersebut merupakan bypass autentikasi di produk inti yang diikuti oleh eksploitasi multi-tahap yang mengarah ke eksekusi kode jarak jauh, bahwa salah satu bagian menyalahgunakan fitur yang jarang digunakan untuk mencari nomor kartu dari database eksternal, dan bahwa para penyerang menggabungkan perilaku driver database dengan penulisan file sembarang dan pemuatan kelas Java untuk menempatkan dan menjalankan payload mereka. Penulis postingan mencatat bahwa kode bypass autentikasi di awal rantai berasal dari kode yang secara pribadi telah ia kontribusikan selama bertahun-tahun, dan bahwa kerentanan tersebut tidak ditemukan selama peningkatan keamanan yang menyusul insiden PaperCut pada 2023.

Alasan mengapa pengungkapan awalnya minim juga dinyatakan secara gamblang: perusahaan berusaha untuk tidak menerbitkan petunjuk yang dapat membantu penyerang lain selagi pelanggan masih rentan. PaperCut menyatakan akan menerbitkan rekonstruksi teknis lengkap dan laporan pasca-insiden begitu hal itu kemungkinan besar tidak lagi menimbulkan risiko tambahan. Per akhir Oktober 2026, rekonstruksi tersebut belum muncul.

Apa yang berubah setelahnya

Jalur remediasinya adalah tiga patch darurat yang diikuti oleh rilis resmi. PaperCut merilis Emergency Patch Release 1, 2, dan 3 secara beruntun, lalu menggantinya dengan rilis pemeliharaan 26.0.5, 25.0.13, dan 24.1.10, yang disebutnya sebagai build yang telah diuji QA sepenuhnya dan berisi perbaikan yang sama plus pengerasan tambahan serta menyertakan catatan rilis normal. Pelanggan pada build darurat diminta beralih ke rilis pemeliharaan; pelanggan yang belum memasang apa pun diminta segera melakukan upgrade. Buletin tersebut juga menginstruksikan siapa pun yang menjalankan Application Server yang menghadap internet untuk segera membatasi akses web ke alamat tepercaya, terlepas dari apakah mereka telah melihat aktivitas mencurigakan atau belum, dan memberi tahu siapa pun yang menduga telah terjadi kompromi untuk mempertahankan backup, menghapus dan membangun ulang server, serta memulihkan backup bersih yang diambil sebelum perilaku mencurigakan tersebut.

Para regulator bergerak mengikuti jadwal yang sama. CISA menambahkan kedua CVE ke katalog Known Exploited Vulnerabilities dalam beberapa hari setelah kampanye dimulai, dengan tenggat remediasi pada pertengahan September 2026 berdasarkan direktif BOD 26-04; katalog mencatat keduanya sebagai tindakan wajib dengan instruksi vendor dan mencantumkan penggunaan ransomware yang diketahui sebagai tidak diketahui. Kolom terakhir itu adalah gambaran jujur atas pertanyaan kerugian: kredensial dan rahasia domain diambil, perkakas akses jarak jauh dipasang pada setidaknya sebagian host, dan tidak ada penyebaran ransomware yang dikaitkan dengan kampanye ini di sumber mana pun yang ditinjau di sini.

Buletin PaperCut, yang diperbarui hingga September 2026, melaporkan bahwa kompromi baru telah melambat secara signifikan, bahwa sebagian besar pelanggan pada saat itu telah memindahkan Application Server mereka ke belakang firewall atau ke build yang telah ditambal, dan bahwa server yang dibiarkan dapat diakses publik dan belum ditambal masih terus diserang — dengan perilaku pascakompromi pada gelombang kedua lebih canggih daripada pada hari-hari pertama.

Apa yang sudah mapan, dan apa yang bergantung pada telemetri satu perusahaan

Tiga hal didokumentasikan secara independen. Kerentanan tersebut nyata dan dijelaskan dengan istilah yang sama oleh vendor dan oleh NVD. Eksploitasi aktif dikonfirmasi oleh PaperCut sendiri, yang menyatakan bahwa pihaknya mengetahui adanya insiden pelanggan yang terkonfirmasi. Dan kedua CVE tersebut ada dalam katalog CISA tentang kerentanan yang diketahui dieksploitasi di alam liar, yang merupakan pernyataan pemerintah bahwa eksploitasi telah terjadi, bukan seberapa banyak.

Semua angka kuantitatif di atas itu — 440 instance, 395 organisasi, 48 negara, 12 admin domain, tujuh menit, 26 detik — adalah hitungan GreyNoise, yang berasal dari grid pengamatannya sendiri dan dari infrastruktur yang ia atribusikan kepada aktor di 45.142.193[.]132. Angka itu belum dipublikasikan oleh PaperCut, CISA, atau pemerintah mana pun yang terdampak. Sebagian darinya telah dikonfirmasi secara independen dalam jenisnya, bukan dalam jumlahnya: Adversary Pursuit Group milik Blackpoint Cyber menjangkau infrastruktur yang sama melalui respons insidennya sendiri dan memulihkan direktori kerja operator, dan The Hacker News melaporkan bahwa Arctic Wolf sebelumnya telah menandai alamat IP yang sama untuk aktivitas pemindaian dan brute-force. Belum ada pihak yang mempublikasikan jumlah korban tandingan.

Keterbatasan PaperCut sendiri adalah pernyataan paling adil tentang kesenjangan itu, dan hal itu ada di buletin: "Wawasan kami tentang lingkungan individual terbatas, sehingga kami tidak dapat mengonfirmasi atau menilai cakupan penuh dampak dari server yang telah dikompromikan." Itu adalah vendor yang menolak mengesahkan angka yang tidak dapat dilihatnya, bukan perselisihan atas temuan GreyNoise. Catatan arsip untuk insiden ini tidak ditandai sebagai diperselisihkan, dan tidak ada apa pun yang ditemukan dalam sumber yang ditinjau di sini yang bertentangan dengan itu.

Yang masih belum diketahui lebih berdampak daripada yang sudah diketahui. Tidak ada korban yang disebutkan namanya oleh siapa pun. GreyNoise mengatakan bahwa pihaknya bermitra dengan firma respons insiden untuk pemberitahuan korban, dan pemberitahuan tersebut bersifat privat. Apakah akses-akses tersebut dibuat untuk dijual kepada kelompok lain, atau untuk digunakan langsung bagi pemerasan atau ransomware, masih belum terselesaikan: Nevan Beal dari Blackpoint dikutip mengatakan bahwa metodologi aktor tersebut konsisten dengan aktivitas akses awal dan bahwa tujuan akhir yang tepat tidak dapat dikonfirmasi. Intrusi masa lalu yang melibatkan eksploitasi PaperCut telah berakhir dengan pemerasan, yang merupakan konteks, bukan bukti tentang intrusi ini.

Apa yang sebenarnya diubah oleh AI

Naluri kita adalah membacanya sebagai mesin yang menemukan eksploitasi baru. Orang-orang yang memeriksanya mengatakan sebaliknya, dan itu adalah temuan yang lebih berguna. Penilaian Blackpoint adalah bahwa dampak AI terkuat dalam kampanye tersebut bukanlah teknik eksploitasi baru, melainkan pengurangan upaya manusia yang diperlukan untuk meneliti, mengembangkan, men-debug, mengklasifikasikan, melacak, mencoba ulang, dan terus meningkatkan eksploitasi di ratusan sistem nyata. Ruang kerja yang dipulihkan mempertahankan status proyek antar sesi — pekerjaan yang selesai, penghambat, hipotesis berikutnya, perubahan kode, status kampanye — dan penargetan ditangani sebagai corong, menggabungkan daftar sumber, melakukan geolokasi dan memfilter kandidat, memeriksa keterjangkauan sebelum probe yang lebih berat, dan mendaur ulang kegagalan melalui putaran percobaan ulang.

Blackpoint juga menyebut perkakas yang memungkinkan kontinuitas itu: Hindsight, yang digambarkan sebagai lapisan memori persisten untuk agen AI, dan AionUI, antarmuka untuk mengoordinasikan alur kerja yang digerakkan agen, keduanya hadir dalam lingkungan operator yang lebih luas. Laporan GreyNoise menyebut model-modelnya — OpenAI Codex sebagai harness dan model DeepSeek — dan mencatat bahwa guardrail model frontier di Amerika Serikat tidak mencegah pekerjaan tersebut. File status yang dipulihkan terbaca sebagai asisten yang mengerjakan tugas-tugas untuk pengguna: satu mencatat proyek "membangun dump materi yang diminta oleh pengguna," yang lain bahwa pemindaian panjang "diinterupsi oleh pengguna."

Pembacaan para defender atas bukti yang sama sengaja dibuat tidak glamor. Threat Intelligence Group Google memperingatkan pada awal September 2026 bahwa para adversari paling visioner menambahkan kemampuan agentic di sepanjang siklus hidup serangan, dan Kelli Vanderlee dari kelompok itu mengatakan kepada Dark Reading bahwa fundamental keamanan yang sudah lama ada tetap berlaku, dengan autentikasi multifaktor, izin yang lebih ketat, masa hidup token sesi yang lebih pendek, dan deteksi perilaku yang melakukan tugasnya. Cliff Steinhauer dari National Cybersecurity Alliance menyampaikan poin pelengkap kepada media yang sama: otomatiskan deteksi dan respons, tetapi jangan mengeluarkan manusia dari persamaan. Kesimpulan GreyNoise sendiri sejalan, dan ada contoh teruji di baliknya — firewall aplikasi web dan build yang sudah ditambal mengalahkan swarm di tempat keduanya hadir.

Itulah keadaan catatan per akhir Oktober 2026. Sebuah server cetak, yang telah ditambal tetapi tidak di semua tempat, cukup untuk memberi kampanye otomatis pijakan di 395 organisasi dan akses administrator domain di dua belas di antaranya, dalam sebuah operasi yang operator manusianya sebagian besar menulis prompt dan membaca file status. Rekonstruksi teknis yang akan memungkinkan tim pertahanan memeriksa rantai itu sendiri telah dijanjikan oleh vendor dan belum dipublikasikan; daftar korban hanya ada dalam notifikasi privat; dan pertanyaan tentang untuk apa akses-akses itu tidak memiliki jawaban publik.