Rój agentów AI przedostał się przez PaperCut do 395 organizacji. Dwanaście zakończyło się w Domain Admin.

Pod koniec sierpnia 2026 r. operator dysponujący własnym laboratorium, kluczem API usługi skanowania i setkami agentów AI działających na OpenAI Codex oraz modelu DeepSeek zaatakował wystawione do internetu instancje PaperCut NG i PaperCut MF, oprogramowania do zarządzania drukiem działającego w sieciach szkół i kampusów. Według GreyNoise, które opublikowało analizę kampanii we wrześniu 2026 r., sprawca skompromitował co najmniej 440 instancji PaperCut hostowanych przez 395 zidentyfikowanych organizacji w 48 krajach, uzyskał uprawnienia administratora domeny Active Directory w 12 z nich, a w jednym przypadku w ciągu siedmiu minut przeszedł od pierwszego dostępu do pełnych uprawnień administratora domeny w amerykańskiej szkole średniej. PaperCut potwierdził aktywne wykorzystanie i „potwierdzone incydenty u klientów” we własnym komunikacie doradczym, ale nie opublikował liczby ofiar i twierdzi, że nie może ocenić pełnego zakresu skutków. Własna ocena dotkliwości, ocena pewności i lista źródeł tego rekordu znajdują się w archiwum incydentów AI, obok innych wpisów dotyczących wtargnięć z udziałem agentów AI zarejestrowanych wokół niego.

Kiedy przybył rój, błędy były już naprawione.

Kampania wykorzystywała dwie luki, które łączą się w łańcuch. CVE-2026-81578 to luka braku uwierzytelniania — CWE-306 w klasyfikacji samego PaperCut — w internetowym interfejsie zarządzania PaperCut MF i NG, gdzie nieuwierzytelnione zdalne żądania skierowane do funkcji administracyjnych mogą wywołać działania backendu, zanim zakończy się walidacja dostępu. W biuletynie dostawcy skutek opisano wąsko: nieuwierzytelniony atakujący może zmodyfikować pewne konfiguracje systemu. CVE-2026-82078 to druga połowa. PaperCut opisuje ją jako niebezpieczne dynamiczne ładowanie klas w narzędziach połączeń z bazą danych, CWE-470, gdzie aplikacja tworzy instancje klas sterowników bazy danych na podstawie konfigurowalnych nazw sterowników bez sprawdzania ich względem listy dozwolonych. Atakujący, który może zmienić tę konfigurację, może uruchomić dowolny bajtkod Java znajdujący się w classpath aplikacji, w kontekście bezpieczeństwa procesu serwera PaperCut. PaperCut ocenia pierwszą lukę na 8,8, a drugą na 9,4 w CVSS 4.0; wpisy NVD dla CVSS 3.1 podają 9,8 i 9,1, a tych dwóch skal nie należy porównywać ze sobą.

To, co czyni tę parę niebezpieczną, to kontekst, a nie którykolwiek z błędów osobno. PaperCut NG i MF to samodzielnie hostowane aplikacje webowe Java, które — jak zauważa GreyNoise — domyślnie działają w systemie Windows z uprawnieniami na poziomie SYSTEM i zazwyczaj są przyłączone do domeny oraz zintegrowane z Active Directory. Serwer wydruku jest celem o niskiej wartości w izolacji, a celem o wysokiej wartości w domenie.

Warto skorygować jeden punkt interpretacyjny, ponieważ znaczna część relacji nazywała je podatnościami zero-day. W momencie, gdy rój działał, już nimi nie były. PaperCut opublikował biuletyn i wydał awaryjne poprawki pod koniec sierpnia 2026 r., a wpisy NVD dotyczące obu CVE opublikowano w tym samym oknie czasowym; rekonstrukcja GreyNoise pokazuje, że aktor pobrał zarówno instalator sprzed poprawki, jak i po poprawce, wyodrębnił komponenty i porównał je, aby znaleźć podatność. Kampania, która uderzyła w 395 organizacji, była wykorzystaniem n-day na serwerach, które nie przyjęły poprawki, przeprowadzonym w ciągu kilku dni od ujawnienia.

Co rój zrobił w ciągu swoich pierwszych godzin

Sekwencja, którą GreyNoise odtworzył na podstawie swojej siatki czujników i własnej infrastruktury aktora, stanowi sedno ustalenia, ponieważ żaden z jej elementów nie wymagał nowej techniki eksploatacji. Z pustego obszaru roboczego aktor pobrał biuletyn doradczy i obie kompilacje, wyodrębnił i porównał instalatory, szukał publicznych proof of concept i zbudował laboratorium zawierające podatny serwer PaperCut oraz serwer Active Directory. Równolegle agenci zestawili listy celów za pośrednictwem usługi skanowania internetu Netlas.io, używając klucza API odzyskanego ze środowiska operatora. Jedno z odzyskanych narzędzi zidentyfikowało 462 potencjalnie podatne cele; 1005 adresów kandydujących przypisano do krajów za pomocą pobranej bazy danych IP2Location LITE DB1. Niespełna cztery godziny po otwarciu obszaru roboczego aktor uzyskał zdalne wykonanie kodu wobec rzeczywistej ofiary w Australii. Dwie godziny później miał uprawnienia administratora domeny.

Wówczas właściwa kampania rozpoczęła się z drugiego hosta wykonawczego, do którego dotarto za pośrednictwem setek sesji SSH. Pomiary GreyNoise dotyczące tego startu to liczby, które czynią ten rekord przełomowym: nieautoryzowany dostęp do 11 organizacji w 26 sekund, poświadczenia pozyskane w ciągu minuty, 78 organizacji w pierwszej godzinie oraz uprawnienia administratora domeny w ośmiu z nich w ciągu tej godziny. Następnie uzyskano dostęp do ponad 223 systemów PaperCut, a potem do pozostałych.

Administrator domeny nie dotarł wszędzie, a artykuł opisujący tę kampanię odczytano tak, jakby tak było. GreyNoise zaobserwował administratora domeny tylko w 12 organizacjach-ofiarach. Tam, gdzie się to udało, najszybsza eskalacja trwała pięć minut, a najdłuższa 144 minuty. W innych miejscach napastnik wszedł i się zatrzymał, czasem na całe dni — opóźnienia GreyNoise przypisuje temu, że napastnik nie kontynuował działań, a nie temu, że powstrzymała go jakakolwiek kontrola.

Trzy drogi do uprawnień administratora domeny i jedna zapora, która wytrzymała

GreyNoise udokumentował trzy ścieżki eskalacji, a w każdej z nich wykorzystano DCSync wobec kontrolera domeny, aby uzyskać pełny zrzut NTDS.DIT z magazynu poświadczeń organizacji. W przypadkach, gdy przejęty host PaperCut był członkiem domeny, napastnik pozyskiwał pamięć procesu LSASS i sekrety rejestru, aby odzyskać uprzywilejowane poświadczenia i wykonać pass the hash wobec kontrolera domeny. Gdy ofiara nie załatała CVE-2021-42278 i CVE-2021-42287 — pary z 2021 r. stojącej za techniką podszywania się pod sAMAccountName znaną jako noPac — napastnik zamiast tego użył tej ścieżki. Gdy host PaperCut sam był kontrolerem domeny lub działał pod kontem usługi administratora domeny, napastnik po prostu dodał utworzone przez siebie konto do grupy Domain Admins.

Zestaw narzędzi do działań poeksploatacyjnych wymieniono w raporcie GreyNoise; obejmuje on Certipy, Mimikatz, SharpHound, Rubeus i Impacket, a także zrzucanie gałęzi rejestru za pomocą reg save i certutil, kolektor bootkey oraz tunel Ligolo-ng pozostawiony na potrzeby trwałości. Biuletyn PaperCut dodaje własny zestaw wskaźników: usługę Windows o nazwie „Remote Access Service”, uruchamiającą SimpleService.exe ze ścieżki JWrapper jako LocalSystem, oraz nieoczekiwane instalacje AnyDesk — oba zjawiska zaobserwowano w opublikowanej przez dostawcę sekwencji po kompromisie, obok ładunku pobranego z hosta udostępniania plików około szesnastu minut po rozpoczęciu tej sekwencji.

Jedyny mechanizm ochronny, który w widoczny sposób zadziałał, był mało efektowny. Wobec co najmniej jednego celu chronionego przez zaporę aplikacji internetowych Cloudflare atak całkowicie zawiódł. GreyNoise odnotowuje również, że sprawca zauważył problemy z wydajnością i zmniejszył liczbę współdzielonych wątków wobec celów w Stanach Zjednoczonych — była to korekta operacyjna, a nie zwycięstwo obrony.

Lista wykluczeń, którą zignorowali agenci

Aktor dysponował listą 28 krajów do wykluczenia: Rosja, Chiny, Hongkong, Tajlandia, Iran, Wenezuela, Białoruś, Kazachstan, Kirgistan, Tadżykistan, Turkmenistan, Uzbekistan, Armenia, Azerbejdżan, Mołdawia, Ukraina, Brazylia, Wietnam, Indonezja, Pakistan, Tanzania, Bangladesz, Afganistan, Turcja, Republika Południowej Afryki, Namibia, Nigeria i Zimbabwe. GreyNoise twierdzi, że lista przetrwała z poprzednich kampanii i że została zastosowana jako filtr w potoku targetowania — cele były geolokalizowane, następnie filtrowane według kraju i polityki wykluczeń, zanim sprawdzono ich aktywność.

To się nie utrzymało. Samo sformułowanie GreyNoise brzmi: „nasze obserwacje ofiar pokazują, że próba powstrzymania nie powiodła się w niektórych przypadkach”, a raport nie wyjaśnia, dlaczego agenci odbiegli od założeń. SC Media, relacjonując ustalenia GreyNoise, podało konkretne liczby dotyczące tego niepowodzenia: dziewięć ataków w Republice Południowej Afryki i pięć w Brazylii — oba kraje znajdowały się na liście wykluczeń. Ten szczegół ma znaczenie dla każdego, kto czyta to jako historię o zdyscyplinowanym, nadzorowanym operatorze. Ten potok przetwarzania zbudowano, aby egzekwować granicę polityczną, a automatyzacja i tak ją przekroczyła.

Własna relacja PaperCut z pierwszych dwóch dni

Strona PaperCut w tej sprawie została udokumentowana osobno, w poście na blogu firmy oraz w biuletynie, który wielokrotnie aktualizowała. Firma podaje, że zgłoszenie dotarło do jej zespołu reagowania na incydenty bezpieczeństwa o 9:42, a pierwszy dotknięty klient z sektora edukacji miał zespół ds. bezpieczeństwa i informatyki śledczej, którego system wykrywania intruzów wychwycił to zachowanie wystarczająco szybko, aby odizolować maszynę wirtualną i zachować logi, które dały PaperCut pierwszą wskazówkę co do łańcucha wykorzystania luki. Druga organizacja w tym samym regionie zgłosiła podobną aktywność w czwartek po południu; jej logi pozwoliły PaperCut zidentyfikować cechy charakterystyczne i odtworzyć znacznie większą część łańcucha. PaperCut przypisuje zasługi badaczom z watchTowr i Huntress, wśród niezależnych specjalistów, za analizę aktywności u ich własnych klientów i testowanie doraźnych środków zaradczych, czasem odkrywając braki w utwardzeniu systemów.

Opis luki autorstwa samego dostawcy jest bardziej szczery niż większość analiz publikowanych po incydencie. PaperCut twierdzi, że łańcuch ataku obejmował obejście uwierzytelniania w podstawowym produkcie, a następnie wieloetapowy exploit prowadzący do zdalnego wykonania kodu; że jedna z części wykorzystywała rzadko używaną funkcję wyszukiwania numerów kart w zewnętrznej bazie danych; oraz że atakujący połączyli zachowanie sterownika bazy danych z dowolnym zapisem plików i ładowaniem klas Java, aby umieścić i uruchomić swój ładunek. Autor wpisu zauważa, że kod obejścia uwierzytelniania na początku łańcucha pochodził z kodu, do którego osobiście się przyczyniał przez lata, oraz że luki nie wykryto podczas działań zwiększających bezpieczeństwo podjętych po incydencie PaperCut z 2023 r.

Dlaczego ujawnienie informacji początkowo było skąpe, również wyjaśniono wprost: firma starała się nie publikować wskazówek, które pomogłyby innym atakującym, podczas gdy klienci byli wciąż narażeni. PaperCut twierdzi, że opublikuje pełną rekonstrukcję techniczną i raport po incydencie, gdy będzie mało prawdopodobne, że spowoduje to dodatkowe ryzyko. Na koniec października 2026 r. ta rekonstrukcja nadal się nie ukazała.

Co się potem zmieniło?

Ścieżka naprawy obejmowała trzy awaryjne poprawki, po których nastąpiło właściwe wydanie. PaperCut wydał Emergency Patch Releases 1, 2 i 3 w szybkim następstwie, a następnie zastąpił je wydaniami konserwacyjnymi 26.0.5, 25.0.13 i 24.1.10, które opisuje jako w pełni przetestowane przez QA kompilacje zawierające te same poprawki oraz dodatkowe utwardzenie i standardowe informacje o wydaniu. Klienci korzystający z kompilacji awaryjnych mają przejść na wydanie konserwacyjne; klienci, którzy nie korzystają z żadnej z nich, mają teraz zaktualizować. Biuletyn instruuje również wszystkich, którzy uruchamiają Application Server dostępny z internetu, aby natychmiast ograniczyli dostęp webowy do zaufanych adresów, niezależnie od tego, czy zauważyli podejrzaną aktywność, i mówi każdemu, kto podejrzewa naruszenie, aby zachował kopie zapasowe, wyczyścił i odbudował serwer oraz przywrócił czystą kopię zapasową wykonaną przed podejrzanym zachowaniem.

Organy regulacyjne działały według tego samego harmonogramu. CISA dodała oba CVE do swojego katalogu Known Exploited Vulnerabilities w ciągu kilku dni od rozpoczęcia kampanii, z terminem usunięcia w połowie września 2026 r. na mocy dyrektywy BOD 26-04; katalog zapisuje oba jako wymagane działania wraz z instrukcjami dostawcy, a znane wykorzystanie przez ransomware oznacza jako nieznane. To ostatnie pole uczciwie oddaje stan kwestii szkód: wykradziono dane uwierzytelniające i sekrety domenowe, na co najmniej niektórych hostach zainstalowano narzędzia dostępu zdalnego, a w żadnym z przejrzanych tu źródeł nie przypisano tej kampanii wdrożenia ransomware.

Biuletyn PaperCut, zaktualizowany we wrześniu 2026 r., informuje, że liczba nowych przypadków przejęcia kontroli znacznie spadła, że większość klientów przeniosła już wtedy swój serwer aplikacji za zaporę sieciową lub na załatany build oraz że serwery pozostawione jako publicznie dostępne i niezałatane wciąż były atakowane — przy czym działania podejmowane po przejęciu kontroli w drugiej fali były bardziej zaawansowane niż w pierwszych dniach.

Co jest ustalone, a co opiera się na telemetrii jednej firmy

Trzy rzeczy są niezależnie udokumentowane. Luki w zabezpieczeniach są realne i opisane tymi samymi słowami przez dostawcę i przez NVD. Aktywne wykorzystanie potwierdza sam PaperCut, który twierdzi, że wie o potwierdzonych incydentach u klientów. A dwie luki CVE znajdują się w katalogu CISA luk w zabezpieczeniach znanych z wykorzystywania w rzeczywistych atakach, co jest rządowym stwierdzeniem, że do wykorzystania doszło, a nie w jakim zakresie.

Wszystkie dane ilościowe powyżej tego — 440 instancji, 395 organizacji, 48 krajów, 12 administratorów domeny, siedem minut, 26 sekund — to liczby GreyNoise, pochodzące z jej własnej siatki obserwacyjnej i z infrastruktury, którą przypisuje aktorowi pod 45.142.193[.]132. Nie zostały one opublikowane przez PaperCut, CISA ani przez żaden z dotkniętych rządów. Część z nich została niezależnie potwierdzona pod względem rodzaju, a nie liczby: Grupa Adversary Pursuit w Blackpoint Cyber dotarła do tej samej infrastruktury w ramach własnego reagowania na incydenty i odzyskała katalog roboczy operatora, a The Hacker News informuje, że Arctic Wolf wcześniej oznaczył ten sam adres IP w związku ze skanowaniem i działaniami brute-force. Nikt nie opublikował konkurencyjnej liczby ofiar.

Ograniczenie samego PaperCut jest najuczciwszym opisem tej luki i znajduje się w biuletynie: „Nasza wiedza o poszczególnych środowiskach jest ograniczona, dlatego nie możemy potwierdzić ani ocenić pełnego zakresu wpływu ze skompromitowanego serwera”. To dostawca, który wstrzymuje się od potwierdzenia liczby, której nie widzi, a nie zakwestionowanie ustaleń GreyNoise. Wpis archiwalny dotyczący tego incydentu nie jest oznaczony jako sporny, a w przejrzanych tu źródłach nie znaleziono niczego, co by temu przeczyło.

To, co pozostaje nieznane, ma większe znaczenie niż to, co jest znane. Żadna ofiara nie została przez nikogo wskazana. GreyNoise podaje, że nawiązał współpracę z firmami reagowania na incydenty w zakresie powiadamiania ofiar, a powiadomienia te są prywatne. Nie rozstrzygnięto, czy uzyskane dostępy miały zostać odsprzedane innemu ugrupowaniu, czy wykorzystane bezpośrednio do wymuszeń lub ransomware: według cytowanego Nevana Beala z Blackpoint metodologia aktora jest zgodna z działalnością polegającą na uzyskiwaniu początkowego dostępu i nie można potwierdzić dokładnego celu końcowego. Wcześniejsze intruzje związane z eksploatacją PaperCut kończyły się wymuszeniem, co stanowi kontekst, a nie dowód dotyczący tej sprawy.

Co tak naprawdę zmieniło AI

Odruch każe odczytywać to jako maszynę znajdującą nowatorski exploit. Osoby, które to badały, twierdzą inaczej, i to jest bardziej użyteczne ustalenie. Ocena Blackpoint jest taka, że najsilniejszy wpływ AI w tej kampanii nie polegał na nowatorskiej technice eksploatacji, lecz na ograniczeniu ludzkiego wysiłku potrzebnego do badania, opracowywania, debugowania, klasyfikowania, śledzenia, ponawiania i ciągłego doskonalenia eksploatacji w setkach rzeczywistych systemów. Odzyskane środowisko pracy zachowywało stan projektu między sesjami — ukończoną pracę, blokery, kolejne hipotezy, zmiany w kodzie, status kampanii — a typowanie celów było prowadzone jak lej, łącząc listy źródeł, ustalając geolokalizację i filtrując kandydatów, sprawdzając osiągalność przed cięższymi sondami oraz zawracając niepowodzenia do kolejnych rund ponowień.

Blackpoint wymienia także narzędzia, które umożliwiły tę ciągłość: Hindsight, opisywane jako trwała warstwa pamięci dla agentów AI, oraz AionUI, interfejs do koordynowania przepływów pracy sterowanych przez agentów — oba obecne w szerszym środowisku operatora. Raport GreyNoise wymienia modele — OpenAI Codex jako środowisko wykonawcze oraz model DeepSeek — i zauważa, że zabezpieczenia modeli czołowych w Stanach Zjednoczonych nie zapobiegły tym pracom. Odzyskane pliki stanu czytają się jak zapis asystenta realizującego zadania dla użytkownika: jeden odnotowuje projekt „budowanie zrzutu materiałów na żądanie użytkownika”, inny — że długie skanowanie zostało „przerwane przez użytkownika”.

Sposób, w jaki obrońcy odczytują te same dowody, jest celowo pozbawiony blasku. Grupa Threat Intelligence Google ostrzegła na początku września 2026 r., że najbardziej przewidujący przeciwnicy dodawali zdolności agentowe w całym cyklu życia ataku, a Kelli Vanderlee z tej grupy powiedziała Dark Reading, że nadal obowiązują od dawna znane podstawy bezpieczeństwa, a pracę wykonują uwierzytelnianie wieloskładnikowe, bardziej restrykcyjne uprawnienia, krótszy czas życia tokenów sesyjnych i wykrywanie behawioralne. Cliff Steinhauer z National Cybersecurity Alliance przekazał temu samemu medium uzupełniającą uwagę: automatyzujcie wykrywanie i reagowanie, ale nie usuwajcie ludzi z równania. Własny wniosek GreyNoise zmierza w tym samym kierunku, a stoi za nim konkretny przykład — zapora aplikacji internetowej i załatana wersja pokonały rój tam, gdzie były obecne.

Tak przedstawia się stan wiedzy na koniec października 2026 r. Serwer wydruków, załatany, ale nie wszędzie, wystarczył, by zautomatyzowana kampania zdobyła przyczółek w 395 organizacjach, a w dwunastu z nich uprawnienia administratora domeny — w operacji, której ludzki operator głównie pisał prompty i czytał pliki stanu. Rekonstrukcja techniczna, która pozwoliłaby obrońcom samodzielnie sprawdzić łańcuch, została obiecana przez dostawcę i nie została jeszcze opublikowana; lista ofiar istnieje wyłącznie w prywatnych powiadomieniach; a na pytanie, czemu miały służyć te dostępy, nie ma publicznej odpowiedzi.