Hoe de PaperCut AI Agent Swarm begon: dagen na de patch

Eind augustus 2026 zette iemand op een orkestratiehost waarvan de werkmap later aan het open internet werd blootgesteld, een groep AI-codeeragenten aan het werk op PaperCut NG/MF — de zelfgehoste Java-printmanagementserver die scholen, universiteiten en kantoren gebruiken, meestal op een aan een domein gekoppelde Windows-machine waar de service SYSTEM-rechten heeft. De agenten downloadden PaperCuts beveiligingsadvies samen met de builds van het product van vóór en na de patch, vergeleken ze en zetten het verschil om in een werkende exploit. Volgens GreyNoise, dat de operatie reconstrueerde aan de hand van die blootgestelde map, duurde het net geen vier uur om van een lege werkruimte naar remote code execution op een echt doel in Australië te gaan; de volgende dag bereikte de zwerm 11 organisaties in 26 seconden. Over de hele campagne werden minstens 440 gecompromitteerde PaperCut-instanties geteld bij 395 geïdentificeerde organisaties in 48 landen, met domeinbeheerdertoegang bij twaalf. Het Orca AI Incident Archive registreert dit als de opening van de campagne, dateert dit alleen op eind augustus 2026 en beoordeelt het als kritiek met A-confidence; het volledige incidentrecord van het archief bevat die beoordeling, de geciteerde bronnen en de naburige vermeldingen over agent-intrusies.

Wat de datum van het record omvat, en wat niet.

Het archief markeert deze vermelding als een mijlpaal, niet betwist, met geregistreerde echte schade, ernst kritiek en betrouwbaarheid A. Het datumveld is het onderdeel dat aandacht vergt: het heeft een precisie op het niveau van een deel van een periode rather than een dag, en daarom zegt dit artikel eind augustus 2026 en noemt het geen datum. Dat blijkt de enige eerlijke granulariteit die beschikbaar is, omdat drie verschillende zaken binnen enkele dagen aan het eind van die maand zijn gedocumenteerd, en geen enkele gepubliceerde bron één dag vastlegt voor de campagne als geheel.

Het eerste is de openbaarmaking door de leverancier. PaperCut publiceerde op 27 augustus 2026 zijn beveiligingsbulletin, en de volgende dag ontving NIST's National Vulnerability Database registraties voor CVE-2026-81578 en CVE-2026-82078. NVD beoordeelt beide als kritiek op CVSS 3.1, met 9,8 en 9,1; de eigen CVSS 4.0-scores van PaperCut zijn 8,8 en 9,4. CISA voegde beide eind augustus 2026 toe aan zijn catalogus Known Exploited Vulnerabilities, met een hersteldeadline van 14 september 2026, die in de NVD-registraties als veld cisaExploitAdd voorkomt; het advies AV26-858 van het Canadian Centre for Cyber Security zegt hetzelfde, en beide overheidsregistraties beschouwen exploitatie in het wild als vastgesteld.

De tweede is de eerste bevestigde inbraak bij een klant. Chris Dance, chief executive van PaperCut, schreef een verslag in de ik-vorm over die week: op donderdag 27 augustus 2026 om 9.42 uur Australische oostelijke tijd kwam een melding binnen van een klant in het onderwijs wiens PaperCut MF-server gecompromitteerd leek, en rond het middaguur had het bedrijf een P0 uitgeroepen. Een tweede organisatie in dezelfde regio meldde zich diezelfde dag om 17.05 uur. De inbraakdetectiesystemen van de eerste klant vingen de activiteit snel op en zijn team isoleerde de virtuele machine, waardoor de logs bewaard bleven waarmee de leverancier vervolgens aan de slag ging.

De derde is de werkruimte van de operator. De kroniek van GreyNoise over de operatie begint met een werkruimte die werd aangemaakt en software die werd gedownload om 14:44:55 UTC op de laatste dag van augustus 2026, en dat is het vroegste teruggevonden artefact van de agent-workflow, niet de vroegste aanval. Blackpoint, dat zijn onderzoek begon nadat het actieve exploitatie van een internet-facing PaperCut Application Server had ingedamd, dateert zijn eigen vroegste teruggevonden activiteit op dezelfde dag.

Geen enkele publicatie verbindt die drie met elkaar. PaperCut schrijft dat het "niets weet over de hackers of hun motivaties"; GreyNoise en Blackpoint beschrijven wat hun telemetrie en de teruggevonden directory laten zien. Of de inbraak die de leverancier enkele uren voor zijn eigen bulletin behandelde, aan dezelfde operator toehoort, is in geen enkele bron die voor dit artikel is gelezen vastgesteld. De periodedatum van het record is de nauwkeurige manier om dat allemaal bijeen te houden.

Dag één: een lege werkruimte en een patch-diff

De reconstructie van GreyNoise is ongewoon fijnmazig voor een inbraak van deze omvang: 25 gedateerde gebeurtenissen over vier dagen, de meeste daarvan op de eerste dag. Om 14:44:55 UTC downloadt de operator het advies en beide builds en zoekt hij op internet naar openbare proof-of-concepts. Vierendertig minuten later bestaat er een eerste lijst met vermoedelijk kwetsbare doelen. Om 15:54:53 worden de installercomponenten voor de kwetsbare en de gepatchte versie uitgepakt en gediffd, en worden de exploits getest tegen gepatchte en ongepatchte servers in Afrika — de duidelijkste aanwijzing dat de campagne op de fix was gebouwd en niet op een geheim.

Om 16:09:31 bestaat er een multithreaded tool en identificeert 462 mogelijk kwetsbare doelen. Om 16:26 worden 1.005 kandidaatadressen herleid tot landen met behulp van een gedownloade IP2Location LITE DB1-database. Om 16:35 wordt een lokaal lab gebouwd met een Active Directory-server en een kwetsbare PaperCut-instantie, en om 17:02 bevat het acht nep-Active Directory-gebruikers. Eén vermelding van 16:04:42 is belangrijker dan op het eerste gezicht lijkt: "MCA wordt gevraagd om toestemming om door te gaan." De workflow was agentisch, niet onbeheerd.

Om 18:39:39 UTC beschikken de agents over remote code execution en een shell op een echt doel in Australië — nog net geen vier uur nadat de workspace werd aangemaakt, volgens de samenvatting van GreyNoise. Om 19:14:46 legt de tooling 28 landen vast die moeten worden uitgeschlossen, in de volgorde van Rusland, China en Hong Kong tot Namibië, Nigeria en Zimbabwe. Om 20:50 worden per doel "Kali-ready"-intrusiekits samengesteld; sommige kunnen een account aanmaken en aan Domain Admin toevoegen. Om 21:00 wordt domeinbeheertoegang bij het Australische doel gevalideerd, wat de "eerste domeinbeheerder binnen nog eens twee uur" is die GreyNoise publiceert.

De lezing van Blackpoint van dezelfde map omvat wat de agents deden tussen die stappen. Zijn Adversary Pursuit Group herstelde statusbestanden die waren geschreven vanuit het perspectief van een assistent die de taken van een gebruiker doorliep: een vermelding van de eerste dag registreert het project "het samenstellen van de door de gebruiker gevraagde materiaaldump", en een later checkpoint merkt op dat een lange scan "door de gebruiker was onderbroken" voordat werd vastgelegd welke technische wijzigingen als volgende moesten worden doorgevoerd. Hindsight, een persistente geheugenlaag voor AI-agents, en AionUI, een interface voor het coördineren van agentgestuurde workflows, waren beide aanwezig in de bredere operatoromgeving. "Context bleef behouden terwijl het project verschoof van kwetsbaarheidsonderzoek naar exploitvalidatie, toolontwikkeling, doeluitbreiding en uiteindelijk operationele uitvoering," schreven Sam Decker en Nevan Beal van Blackpoint.

GreyNoise noemt de software die eronder zit: honderden AI-agenten, aangedreven door OpenAI's Codex als de harness en een DeepSeek-model, dat het bedrijf expliciet onderscheidt van OpenAI's eigen modellen, die met openbaar beschikbare offensieve tools werken, waaronder Mimikatz, SharpHound, Certipy, Rubeus en Impacket. De door Blackpoint herstelde omgeving voegt de onderdelen toe die een zwerm beheersbaar maken en de onderdelen die deze auditeerbaar maken: statusbestanden die vastleggen wat is geprobeerd, wat stukging en wat de volgende sessie ermee moet doen.

De verkoper zag een klant, geen zwerm.

PaperCuts verslag van dezelfde week is de moeite waard om naast het bovenstaande te lezen, omdat het beschrijft hoe een inbraak er van de andere kant uitziet. Het bedrijf vroeg zich eerst af of de gecompromitteerde server gewoon een patch had gemist. "We keken eerst of dit een 'n-day'-aanval kon zijn," schrijft Dance. De logs wezen elders op en toonden echte code-uitvoering op de server, dus riep het bedrijf een P0 uit en ging het ervan uit dat de kwetsbaarheden onbekend waren.

De beslissing om niet meer uitleg te geven was bewust. "We probeerden te voorkomen dat we informatie publiceerden die extra aanvallers zou kunnen helpen terwijl klanten mogelijk nog steeds blootgesteld waren," schrijft Dance. Het bulletin drong er bij klanten op aan om internetgerichte Application Servers van het openbare internet af te nemen voordat er een oplossing bestond, en de patches kwamen in hoog tempo: drie noodreleases binnen vijf dagen, de tweede werd diezelfde avond gepubliceerd na werk met de beveiligingsonderzoekers Huntress en watchTowr, en de derde op 1 september 2026 nadat er twee regressies opdoken.

De zin die aan dit record hoort, gaat over wat de leverancier nog niet had gezien. "Hoewel we op dat moment nog geen geautomatiseerde exploitatie op grote schaal hadden gezien, vreesden we dat het slechts een kwestie van tijd was." Toen de leverancier dat op 1 september 2026 schreef, hadden de agenten van de operator al een dag lang de campagne uitgevoerd vanaf een tweede uitvoeringshost. De automatisering die dit incident definieert, kwam in het openbare domein niet omdat een slachtoffer ze ontdekte, maar omdat een directory van de operator bereikbaar was vanaf het internet en Blackpoint die vond.

Dag twee, en wat de cijfers waard zijn

De kroniek van GreyNoise vermeldt dat de doellijst op de tweede dag om 07:00 UTC is vernieuwd met resultaten van Netlas.io, met gebruik van een geïdentificeerde API-sleutel, en dat de eigenlijke campagne om 08:30 van start gaat vanaf een tweede uitvoeringshost via honderden SSH-sessies. In het eigen eventlog staat: ongeautoriseerde toegang tot 11 organisaties in 26 seconden, het oogsten van inloggegevens binnen een minuut, 78 organisaties aan het einde van het eerste uur, en domeinbeheerder bij 8 daarvan binnen dat uur. TechRepublic, dat hetzelfde onderzoek rapporteert, voegt toe dat de aanvalsengine tot 200 gelijktijdige threads draaide, met maar liefst 100 geautomatiseerde retry-lussen.

De terughoudendheid die de agenten hadden gekregen opgedragen te betrachten, hield geen stand. SC Media meldde negen aanvallen in Zuid-Afrika en vijf in Brazilië, beide landen op de uitsluitingslijst, en GreyNoise' eigen verslag vermeldt slachtoffers in Rusland, China, Kazachstan en Pakistan. Om 17:01 UTC op die tweede dag noteert de kroniek dat Cloudflare's webapplicatiefirewall de poging wist te verijdelen, wat een van de beste illustraties is die het verslag biedt van wat er daadwerkelijk tegen werkte.

Alle cijfers zijn van één bedrijf. GreyNoise leidde ze af uit zijn eigen telemetrie en de teruggevonden directory, en PaperCut heeft ze niet onderschreven: op het moment van schrijven zegt de leverancier dat het "nog steeds met klanten, securityonderzoekers en partners werkt om de volledige breedte van de impact te begrijpen." Geen enkele slachtofferorganisatie is publiekelijk genoemd. De actor wordt beschreven als "waarschijnlijk Russischsprekend" en krijgt geen groepsnaam; de IP die GreyNoise met de operatie verbindt, 45.142.193[.]132, was sinds minstens begin juli 2026 gebruikt voor schadelijke activiteit tegen internetgerichte producten van Palo Alto, Ubiquiti, Citrix, SonicWall en Proxmox VE, wat de interpretatie ondersteunt dat dit een bestaande toegangsoperatie was en geen nieuwe. Geen enkele overheid heeft de campagne toegeschreven.

Het einddoel is open. "Op dit moment kunnen we het exacte einddoel van deze campagne niet bevestigen," zei Nevan Beal van Blackpoint. In alle drie de domeinbeheerpaden van GreyNoise werd DCSync gebruikt om de NTDS.DIT-database te dumpen, dus verlieten de inloggegevens het gebouw, of er nu wel of geen losgeld volgde. Blackpoints eigen conclusie over de AI is beperkter dan de meeste berichtgeving erover: "De sterkste AI-impact in deze campagne was geen nieuwe exploit-techniek."

Wat vaststaat, wat uit één bron komt, en wat niemand heeft aangetoond

• Vastgesteld op basis van gegevens die niet afhankelijk zijn van een van beide onderzoeksfirma's: CVE-2026-81578 en CVE-2026-82078 bestaan, zijn van PaperCut en worden door NVD gescoord; PaperCut bevestigde de actieve exploitatie van zijn eigen product in zijn bulletin en in de verklaring van zijn CEO; CISA vermeldde beide CVE's als geëxploiteerd met een deadline van 14 september 2026; patches en vervangende onderhoudsreleases werden gepubliceerd.

• Vastgesteld door de slachtofferzijde:ten minste twee klantincidenten werden binnen een dag na elkaar aan PaperCut gemeld, het eerste afkomstig van een klant in het onderwijs, en bij een van beide werd daadwerkelijke code-uitvoering op de server aangetroffen, met logs die door het eigen incident-response-team van de klant zijn bewaard.

• Uit één bron, en sterk onderbouwd: elke hoeveelheid op de kaart hierboven; de scans met 462 doelen en 1.005 adressen; de vier uur durende run van lege werkruimte tot eerste remote code execution; de 26 seconden. Deze komen uit de telemetrie van GreyNoise, en de onafhankelijk herstelde directory van Blackpoint bevestigt de vorm van de workflow zonder de aantallen te reproduceren.

• Inferentie, als inferentie gepresenteerd: dat de agents het meeste werk deden. GreyNoise vertelde SC Media dat "de overgrote meerderheid van de taken autonoom was, met een handvol waargenomen menselijke onderbrekingen", wat een oordeel is over een workflow die deels via de eigen logs is geobserveerd, geen meting. De herstelde statusbestanden laten zien dat een persoon onderbrak, toestemming gaf en materiaal opvroeg.

• Nergens in dit artikel kon worden vastgesteld: dat de klantinbraak van vóór het bulletin en de werkruimte van de operator dezelfde actor zijn; het doel van de toegangen; het aantal werkelijke slachtoffers naast de 395 genoemde organisaties, dat GreyNoise zelf onvolledig noemt omdat sommige slachtoffers niet aan een genoemde organisatie toegewezen konden worden.

Wat is er daarna veranderd?

De reactie van PaperCut is het meest volledig gedocumenteerde deel van het dossier, omdat de leverancier zijn eigen patchgeschiedenis publiceerde. Het bulletin werd op 27 augustus 2026 uitgebracht; de eerste noodpatch volgde binnen enkele uren voor versie 25 en 26; Release 2 kwam dezelfde avond met aanvullende hardening die met Huntress en watchTowr werd ontwikkeld en werd uitgebreid naar versie 24; Release 3 verscheen op 1 september 2026, bundelde de eerdere fixes en sloot nog meer aanvalsvectoren “die we in het wild hebben waargenomen te worden misbruikt”. Op 10 september 2026 werden de noodbuilds vervangen door volledig geteste onderhoudsreleases: PaperCut NG/MF 26.0.5, 25.0.13 en 24.1.10. Versie 23 en eerdere krijgen helemaal geen patch en moeten overstappen naar een ondersteunde versielijn.

De mitigatie waarop de leverancier het meest aandrong, was geen patch: beperk webtoegang tot de Application Server tot alleen vertrouwde adressen, met firewallregels of netwerktoegangscontroles, "zelfs als u geen verdachte activiteit hebt waargenomen." Voor detectie publiceerde de leverancier indicatoren die specifiek genoeg zijn om gericht op te zoeken: waarschuwingen over post-exploitatieactiviteit van pc-app.exe, ontbrekende of afgeknotte server.log-bestanden, en twee logstrings, "ERROR No suitable driver found for jdbc:no:x" en "ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST". De richtlijnen van Blackpoint breiden de scope uit tot buiten de PaperCut-host: controleer op het aanmaken van geprivilegieerde accounts, toegang tot inloggegevens, Active Directory-discovery en interne pivoting.

De waarde van die maatregelen staat deels vast. Een gepatchte build plus een web application firewall stopten de zwerm waar beide aanwezig waren, en daarom is de eigen conclusie van GreyNoise dat "traditionele hardening wel degelijk een positief effect heeft". Het lastigere punt is wat de tijdlijn duidelijk maakt: de patches bestonden al voordat de agents begonnen, en de campagne liep tegen servers die ze binnen enkele dagen na publicatie nog niet hadden toegepast.

Wat het begin nog steeds niet verklaart

Het dossier documenteert de start van een campagne beter dan vrijwel elke vergelijkbare inbraak — de eigen werkbestanden van de operator, met tijdstempels op de seconde nauwkeurig, blijven bewaard in openbare publicaties — en toch kan het nog steeds niet zeggen waarvoor de campagne diende. Er is geen losgeldbrief, geen afpersing via datadiefstal en geen overdracht aan een andere groep bevestigd; de toegangen waren consistent met initial-accessactiviteit, wat de karakterisering van Blackpoint is en geen bevinding. PaperCut heeft een volledige technische reconstructie beloofd en had die op 29 oktober 2026 nog niet gepubliceerd.

Waar de A-betrouwbaarheidsclassificatie van het archief op rust, is beperkter en steviger dan de aantallen in de koppen: twee echte kwetsbaarheden, een leverancier die bevestigde dat zijn eigen product werd geëxploiteerd, een toezichthouder die beide bugs als geëxploiteerd vermeldde, en een patchgeschiedenis die iedereen kan lezen. De zwerm is het deel dat deze vermelding tot een mijlpaal maakte. Het bewijs voor de zwerm is een directory die zijn operator bereikbaar achterliet, en de telemetrie van één firma — wat ronduit gezegd moet worden, omdat het verschil tussen die twee soorten claims het verschil is tussen waar een verdediger op kan handelen en wat een verdediger op vertrouwen moet aannemen.