Een zwerm AI-agenten kwam via PaperCut binnen bij 395 organisaties. Twaalf eindigden met Domain Admin.

Eind augustus 2026 viel een operator met een zelfgehost lab, een API-sleutel voor een scandienst en honderden AI-agenten die op OpenAI Codex en een DeepSeek-model draaiden, van internet bereikbare instanties van PaperCut NG en PaperCut MF aan, de printbeheersoftware die op school- en campusnetwerken draait. Volgens GreyNoise, dat de campagneanalyse in september 2026 publiceerde, compromitteerde de actor ten minste 440 PaperCut-instanties die werden gehost door 395 geïdentificeerde organisaties in 48 landen, bereikte hij bij 12 daarvan het niveau van Active Directory-domeinbeheerder en ging hij in één geval in zeven minuten van eerste toegang naar volledige domeinbeheerder bij een middelbare school in de Verenigde Staten. PaperCut heeft in zijn eigen advies actieve exploitatie en "bevestigde klantincidenten" bevestigd, maar heeft geen slachtofferaantal gepubliceerd en zegt dat het de volledige omvang van de impact niet kan inschatten. De eigen ernstclassificatie, betrouwbaarheidsinschatting en bronnenlijst van het record staan in het AI-incidentenarchief, naast de andere vermeldingen over agentische inbraken die eromheen zijn geregistreerd.

De bugs waren al gepatcht toen de zwerm arriveerde.

De campagne maakte gebruik van twee kwetsbaarheden die op elkaar aansluiten. CVE-2026-81578 is een fout door ontbrekende authenticatie — CWE-306 in PaperCut's eigen classificatie — in de webbeheerinterface van PaperCut MF en NG, waarbij niet-geauthenticeerde externe verzoeken gericht op administratieve functies backendacties kunnen activeren voordat de toegangsvalidatie is voltooid. In het bulletin van de leverancier wordt de impact beperkt omschreven: een niet-geauthenticeerde aanvaller kan bepaalde systeemconfiguraties wijzigen. CVE-2026-82078 is de tweede helft. PaperCut beschrijft dit als onveilig dynamisch laden van klassen in de hulpprogramma's voor databaseverbindingen, CWE-470, waarbij de applicatie klassen voor databasestuurprogramma's instantieert op basis van configureerbare stuurprogrammanamen zonder deze tegen een allowlist te controleren. Een aanvaller die die configuratie kan wijzigen, kan willekeurige Java-bytecode uitvoeren die zich op het classpath van de applicatie bevindt, binnen de beveiligingscontext van het PaperCut-serverproces. PaperCut kent de eerste een score van 8,8 toe en de tweede 9,4 onder CVSS 4.0; de CVSS 3.1-vermeldingen van NVD geven 9,8 en 9,1, en de twee schalen mogen niet met elkaar worden vergeleken.

Wat het paar gevaarlijk maakt, is de context, niet een van beide bugs op zich. PaperCut NG en MF zijn zelfgehoste Java-webapplicaties die, zoals GreyNoise opmerkt, standaard op Windows met SYSTEM-rechten draaien en doorgaans aan een domein zijn gekoppeld en met Active Directory zijn geïntegreerd. Een printserver is op zichzelf een doelwit met lage waarde en binnen een domein een met hoge waarde.

Eén punt over de framing verdient correctie, want een groot deel van de berichtgeving noemde deze zero-days. Tegen de tijd dat de zwerm actief was, waren ze dat niet meer. PaperCut publiceerde het bulletin en bracht eind augustus 2026 noodpatches uit, en de vermeldingen van NVD voor beide CVE's werden in dezelfde periode gepubliceerd; de reconstructie van GreyNoise laat zien dat de actor zowel de installer van vóór als na de patch downloadde, de componenten uitpakte en ze met elkaar vergeleek om de kwetsbaarheid te vinden. De campagne die 395 organisaties trof, was n-day-exploitatie van servers waarop de fix niet was toegepast, uitgevoerd binnen dagen na de openbaarmaking.

Wat de zwerm deed in zijn eerste uren

De sequentie die GreyNoise reconstrueerde uit zijn sensorgrid en de eigen infrastructuur van de actor vormt de kern van de bevinding, omdat niets ervan een nieuwe exploitatietechniek vereiste. Vanuit een lege werkruimte downloadde de actor het advies en beide builds, pakte de installatieprogramma's uit en vergeleek ze, zocht naar openbare proofs of concept en bouwde een lab met een kwetsbare PaperCut-server en een Active Directory-server. Parallel daaraan stelden agenten doellijsten samen via de internetscanningsdienst Netlas.io met een API-sleutel die was teruggevonden uit de omgeving van de operator. Eén teruggevonden tool identificeerde 462 mogelijk kwetsbare doelen; 1.005 kandidaatadressen werden aan landen toegewezen met een gedownloade IP2Location LITE DB1-database. Net geen vier uur nadat de werkruimte was geopend, had de actor remote code execution op een echt slachtoffer, in Australië. Twee uur daarna beschikte die over domeinadministratorrechten.

Toen begon de eigenlijke campagne vanaf een tweede uitvoeringshost, die via honderden SSH-sessies werd bereikt. De metingen van GreyNoise van de lancering zijn de cijfers die dit record tot een mijlpaal maken: ongeoorloofde toegang tot 11 organisaties in 26 seconden, inloggegevens verzameld binnen een minuut, 78 organisaties in het eerste uur, en domeinbeheerder bij acht daarvan binnen dat uur. Daarna volgde toegang tot meer dan 223 PaperCut-systemen, en vervolgens de rest.

Domeinadmin was niet overal aanwezig, en het artikel dat over de campagne berichtte, is gelezen alsof dat wel zo was. GreyNoise zag domeinadmin alleen bij 12 slachtofferorganisaties. Waar het slaagde, was de snelste escalatie vijf minuten en de langste 144 minuten. Elders kwam de actor binnen en stopte, soms dagenlang — vertragingen die GreyNoise toeschrijft aan het feit dat de actor niet opvolgde, niet aan een of andere maatregel die standhield.

Drie manieren om domeinadmin te worden, en één firewall die standhield

GreyNoise documenteerde drie escalatiepaden en in alle daarvan een DCSync tegen de domeincontroller om een volledige NTDS.DIT-dump van de referentieopslag van de organisatie te produceren. Waar de gecompromitteerde PaperCut-host lid was van het domein, verzamelde de actor LSASS-procesgeheugen en registergeheimen om geprivilegieerde inloggegevens te achterhalen en pass-the-hash uit te voeren tegen de domeincontroller. Waar het slachtoffer CVE-2021-42278 en CVE-2021-42287 niet had gepatcht — het paar uit 2021 achter de sAMAccountName-spoofingtechniek die bekendstaat als noPac — gebruikte de actor in plaats daarvan dat pad. Waar de PaperCut-host zelf de domeincontroller was, of draaide onder een domeinadmin-serviceaccount, voegde de actor eenvoudig het account dat hij had aangemaakt toe aan Domain Admins.

De post-exploitatietoolkit staat vermeld in het GreyNoise-rapport en omvat Certipy, Mimikatz, SharpHound, Rubeus en Impacket, naast het dumpen van registerhives via reg save en certutil, een bootkey-verzamelaar en een Ligolo-ng-tunnel die voor persistentie is achtergelaten. Het bulletin van PaperCut voegt daar zijn eigen indicatorenset aan toe: een Windows-service met de naam "Remote Access Service" die SimpleService.exe vanuit een JWrapper-pad als LocalSystem uitvoert, en onverwachte AnyDesk-installaties — beide waargenomen in de door de leverancier gepubliceerde post-compromissequentie, samen met een payload die ongeveer zestien minuten in die sequentie van een filesharing-host werd opgehaald.

De enige beheersmaatregel die zichtbaar werkte, was weinig glamoureus. Tegen ten minste één doelwit achter Cloudflares web application firewall mislukte de aanval volledig. GreyNoise registreert ook dat de actor prestatieproblemen opmerkte en zijn aantal threads tegen Amerikaanse doelwitten verlaagde — een operationele aanpassing, geen defensieve overwinning.

De uitsluitingslijst die de agenten negeerden

De actor hanteerde een lijst van 28 landen om te vermijden: Rusland, China, Hongkong, Thailand, Iran, Venezuela, Belarus, Kazachstan, Kirgizië, Tadzjikistan, Turkmenistan, Oezbekistan, Armenië, Azerbeidzjan, Moldavië, Oekraïne, Brazilië, Vietnam, Indonesië, Pakistan, Tanzania, Bangladesh, Afghanistan, Turkije, Zuid-Afrika, Namibië, Nigeria en Zimbabwe. GreyNoise zegt dat de lijst overleefde uit eerdere campagnes en dat deze als filter in de targeting-pipeline werd toegepast — doelen werden geolokaliseerd en vervolgens gefilterd op land en uitsluitingsbeleid voordat werd gecontroleerd of ze actief waren.

Het hield geen stand. GreyNoise' eigen formulering is dat "onze waargenomen victimologie laat zien dat de gepoogde terughoudendheid in sommige gevallen heeft gefaald", en het rapport laat in het midden waarom de agenten afweken. SC Media, dat verslag deed van de GreyNoise-bevindingen, hing concrete cijfers aan het falen: negen aanvallen in Zuid-Afrika en vijf in Brazilië, die beide op de uitsluitingslijst staan. Dat detail is van belang voor iedereen die dit leest als een verhaal over een gedisciplineerde, onder toezicht staande operator. De pijplijn was gebouwd om een politieke grens af te dwingen, en de automatisering overschreed die toch.

PaperCuts eigen verslag van de eerste twee dagen

De kant van PaperCut hierbij is afzonderlijk gedocumenteerd, in een blogpost van het bedrijf en in een bulletin dat het herhaaldelijk heeft bijgewerkt. Het bedrijf zegt dat een melding om 9.42 uur 's ochtends zijn beveiligingsresponsteam bereikte, en dat de eerste getroffen klant, in de onderwijssector, een team voor beveiliging en digitale forensica had waarvan de inbraakdetectie het gedrag snel genoeg detecteerde om de virtuele machine te isoleren en de logboeken veilig te stellen die PaperCut de eerste aanwijzing voor de exploitketen gaven. Een tweede organisatie in dezelfde regio meldde donderdagmiddag vergelijkbare activiteit; dankzij haar logboeken kon PaperCut een veel groter deel van de keten identificeren en reconstrueren. PaperCut erkent de bijdrage van onderzoekers bij watchTowr en Huntress, onder de onafhankelijke onderzoekers, aan het analyseren van activiteit bij hun eigen klanten en het testen van de noodmitigaties, waarbij ze soms gaten in de hardening ontdekten.

De eigen beschrijving van het lek door de leverancier is openhartiger dan de meeste verslagen na incidenten. PaperCut zegt dat de keten een authenticatieomzeiling in het kernproduct was, gevolgd door een meerfasige exploit die leidde tot remote code execution, dat één onderdeel misbruik maakte van een zelden gebruikte functie voor het opzoeken van kaartnummers uit een externe database, en dat de aanvallers gedrag van databasestuurprogramma's combineerden met willekeurig schrijven van bestanden en het laden van Java-klassen om hun payload te plaatsen en uit te voeren. De auteur van het bericht merkt op dat de code voor de authenticatieomzeiling aan het begin van de keten afkomstig was uit code waaraan hij in de loop der jaren persoonlijk had bijgedragen, en dat de kwetsbaarheid niet werd gevonden tijdens de beveiligingsverbetering die volgde op PaperCut's incident uit 2023.

Waarom de openbaarmaking aanvankelijk summier was, wordt ook ronduit gezegd: het bedrijf probeerde geen aanwijzingen te publiceren die andere aanvallers zouden helpen terwijl klanten nog steeds blootgesteld waren. PaperCut zegt dat het een volledige technische reconstructie en een rapport na het incident zal publiceren zodra dat waarschijnlijk geen extra risico meer oplevert. Eind oktober 2026 was die reconstructie nog niet verschenen.

Wat is er daarna veranderd?

Het herstelpad bestond uit drie noodpatches, gevolgd door een reguliere release. PaperCut bracht snel achter elkaar Emergency Patch Releases 1, 2 en 3 uit en verving deze daarna door de onderhoudsreleases 26.0.5, 25.0.13 en 24.1.10. Die omschrijft het als volledig door QA geteste builds met dezelfde oplossingen plus extra hardening en met normale releaseopmerkingen. Klanten die de noodbuilds gebruiken, wordt geadviseerd over te stappen naar een onderhoudsrelease; klanten die niets hebben geïnstalleerd, wordt geadviseerd nu te upgraden. Het bulletin instrueert ook iedereen die een vanaf internet bereikbare Application Server draait om webtoegang onmiddellijk te beperken tot vertrouwde adressen, ongeacht of zij verdachte activiteit hebben gezien. En het adviseert iedereen die vermoedt dat er sprake is van compromittering om back-ups te bewaren, de server te wissen en opnieuw op te bouwen, en een schone back-up terug te zetten die is gemaakt vóór het verdachte gedrag.

Toezichthouders bewogen zich volgens hetzelfde tijdschema. CISA voegde beide CVE's binnen dagen na de start van de campagne toe aan zijn Known Exploited Vulnerabilities-catalogus, met een hersteltermijn medio september 2026 onder zijn BOD 26-04-richtlijn; de catalogus registreert beide als vereiste acties met leveranciersinstructies en vermeldt bekend ransomwaregebruik als onbekend. Dat laatste veld is de eerlijke stand van zaken rond de schadevraag: inloggegevens en domeingeheimen zijn buitgemaakt, hulpmiddelen voor toegang op afstand zijn op ten minste sommige hosts geïnstalleerd, en in geen van de hier beoordeelde bronnen is een ransomware-implementatie aan deze campagne toegeschreven.

Het bulletin van PaperCut, bijgewerkt tot en met september 2026, meldt dat nieuwe compromitteringen aanzienlijk waren afgenomen, dat de meeste klanten hun Application Server tegen die tijd achter een firewall of op een gepatchte build hadden geplaatst, en dat servers die publiek bereikbaar en ongepatcht waren gelaten nog steeds werden getroffen — waarbij het gedrag na compromittering in de tweede golf geavanceerder was dan in de eerste dagen.

Wat vaststaat, en wat berust op de telemetrie van één bedrijf

Drie dingen zijn onafhankelijk gedocumenteerd. De kwetsbaarheden zijn echt en worden in dezelfde bewoordingen beschreven door de leverancier en door NVD. Actieve exploitatie wordt bevestigd door PaperCut zelf, dat zegt op de hoogte te zijn van bevestigde incidenten bij klanten. En de twee CVE's staan in CISA's catalogus van kwetsbaarheden waarvan bekend is dat ze in het wild worden geëxploiteerd, wat een overheidsverklaring is dat exploitatie heeft plaatsgevonden, niet hoeveel.

Alles wat hierboven kwantitatief is — 440 instanties, 395 organisaties, 48 landen, 12 domeinbeheerders, zeven minuten, 26 seconden — is de telling van GreyNoise, afgeleid van zijn eigen observatierooster en van infrastructuur die het toeschrijft aan de actor op 45.142.193[.]132. Het is niet gepubliceerd door PaperCut, door CISA of door enige getroffen overheid. Een deel ervan is onafhankelijk bevestigd in soort in plaats van in aantal: Blackpoint Cyber's Adversary Pursuit Group bereikte dezelfde infrastructuur via zijn eigen incidentrespons en vond de werkmap van de operator terug, en The Hacker News meldt dat Arctic Wolf hetzelfde IP-adres eerder had gemarkeerd voor scan- en brute-forceactiviteit. Niemand heeft een concurrerende slachtoffertelling gepubliceerd.

De eigen beperking van PaperCut is de meest eerlijke formulering van de kloof, en staat in het bulletin: "Ons inzicht in afzonderlijke omgevingen is beperkt, dus we kunnen de volledige omvang van de impact van een gecompromitteerde server niet bevestigen of beoordelen." Dat is een leverancier die weigert een cijfer te onderschrijven dat hij niet kan zien, niet een betwisting van de bevinding van GreyNoise. Het archiefrecord voor dit incident is niet als betwist gemarkeerd, en niets in de hier onderzochte bronnen spreekt dat tegen.

Wat onbekend blijft, weegt zwaarder dan wat bekend is. Niemand heeft een slachtoffer bij naam genoemd. GreyNoise zegt dat het met incidentresponsebedrijven heeft samengewerkt aan meldingen aan slachtoffers, en die meldingen zijn vertrouwelijk. Of de toegangen zijn opgezet om aan een andere groep te worden doorverkocht, of om direct te worden gebruikt voor afpersing of ransomware, is nog niet duidelijk: Nevan Beal van Blackpoint wordt geciteerd met de uitspraak dat de methodologie van de actor overeenkomt met initial-access-activiteit en dat het exacte einddoel niet kan worden bevestigd. Eerdere intrusies waarbij misbruik van PaperCut betrokken was, zijn op afpersing uitgelopen; dat is context, geen bewijs over dit geval.

Wat de AI daadwerkelijk heeft veranderd

De reflex is om dit te lezen als een machine die een nieuwe exploit vindt. De mensen die het hebben onderzocht zeggen iets anders, en dat is de nuttigere bevinding. Blackpoints beoordeling is dat de sterkste AI-impact in de campagne niet een nieuwe exploitatietechniek was, maar de vermindering van de menselijke inspanning die nodig was om exploitatie te onderzoeken, te ontwikkelen, te debuggen, te classificeren, te volgen, opnieuw te proberen en continu te verbeteren bij honderden echte systemen. De teruggevonden werkruimte behield de projectstatus tussen sessies — voltooid werk, blokkades, volgende hypotheses, codewijzigingen, campagnestatus — en de targeting werd als een trechter behandeld, waarbij bronnenlijsten werden samengevoegd, kandidaten werden geolokaliseerd en gefilterd, bereikbaarheid werd gecontroleerd vóór zwaardere probes, en mislukkingen werden gerecycled via herkansingsrondes.

Blackpoint noemt ook de hulpmiddelen die die continuïteit mogelijk maakten: Hindsight, beschreven als een persistente geheugenlaag voor AI-agenten, en AionUI, een interface voor het coördineren van door agenten aangestuurde workflows, beide aanwezig in de bredere omgeving van de operator. Het rapport van GreyNoise noemt de modellen — OpenAI Codex als het raamwerk en een DeepSeek-model — en merkt op dat de guardrails van frontier-modellen in de Verenigde Staten het werk niet hebben verhinderd. De herstelde statusbestanden lezen als een assistent die taken voor een gebruiker doorwerkt: in een ervan staat het project "het bouwen van de door de gebruiker gevraagde materiaaldump", in een ander dat een lange scan "door de gebruiker werd onderbroken".

De lezing van dezelfde bewijzen door verdedigers is bewust weinig glamoureus. Google's Threat Intelligence Group waarschuwde begin september 2026 dat de meest vooruitziende tegenstanders agentische mogelijkheden aan de hele aanvalscyclus toevoegden, en Kelli Vanderlee van die groep zei tegen Dark Reading dat de al lang bestaande beveiligingsfundamenten nog steeds gelden, waarbij multifactorauthenticatie, strakkere rechten, kortere levensduur van sessietokens en gedragsdetectie het werk doen. Cliff Steinhauer van de National Cybersecurity Alliance maakte tegenover dezelfde publicatie het aanvullende punt: automatiseer detectie en respons, maar haal mensen niet uit de vergelijking. De eigen conclusie van GreyNoise loopt in dezelfde richting, en er zit een uitgewerkt voorbeeld achter: een web application firewall en een gepatchte build versloegen de zwerm waar ze aanwezig waren.

Dat is de stand van zaken eind oktober 2026. Een afdrukserver, gepatcht maar niet overal, was genoeg om een geautomatiseerde campagne een voet aan de grond te geven bij 395 organisaties en domeinbeheerder in twaalf daarvan, in een operatie waarin de menselijke operator vooral prompts schreef en statusbestanden las. De technische reconstructie waarmee verdedigers de keten zelf zouden kunnen controleren, is door de leverancier toegezegd maar nog niet gepubliceerd; de slachtofferlijst bestaat alleen in privémeldingen; en de vraag waarvoor de toegangen dienden, heeft geen publiek antwoord.