Como o Enxame de Agentes de IA do PaperCut Começou: Dias Após o Patch

No final de agosto de 2026, em um host de orquestração cujo diretório de trabalho foi posteriormente exposto à internet aberta, alguém colocou um grupo de agentes de codificação com IA para trabalhar no PaperCut NG/MF — o servidor Java de gerenciamento de impressão auto-hospedado que escolas, universidades e escritórios executam, geralmente em uma máquina Windows ingressada no domínio, onde o serviço tem privilégios SYSTEM. Os agentes baixaram o aviso de segurança da PaperCut junto com as builds do produto anteriores e posteriores ao patch, fizeram o diff entre elas e transformaram a diferença em um exploit funcional. A GreyNoise, que reconstruiu a operação a partir desse diretório exposto, mostra que ela passou de um espaço de trabalho vazio para execução remota de código em um alvo real na Austrália em pouco menos de quatro horas; no dia seguinte, o enxame atingiu 11 organizações em 26 segundos. Ao longo da campanha, contabilizou pelo menos 440 instâncias comprometidas do PaperCut em 395 organizações identificadas em 48 países, com acesso de administrador de domínio em doze casos. O Orca AI Incident Archive arquiva isto como a abertura da campanha, situando-a apenas no final de agosto de 2026 e classificando-a como crítica com confiança A; o registro completo do incidente no arquivo traz essa classificação, as fontes citadas e as entradas vizinhas de intrusão por agentes.

O que a data do registro abrange e o que não abrange

O arquivo marca esta entrada como um marco, não contestado, com danos reais registados, gravidade crítica e confiança A. O seu campo de data é o elemento que exige cuidado: contém uma precisão de parte do período, e não de um dia, razão pela qual este artigo refere o final de agosto de 2026 e não indica uma data. Essa revela-se a única granularidade honesta disponível, porque três coisas diferentes estão documentadas no espaço de poucos dias no final desse mês, e nenhuma fonte publicada fixa um dia para a campanha como um todo.

O primeiro é a divulgação do fornecedor. A PaperCut publicou o seu boletim de segurança em 27 de agosto de 2026, e o National Vulnerability Database do NIST recebeu registos para CVE-2026-81578 e CVE-2026-82078 no dia seguinte. A NVD classifica ambos como críticos no CVSS 3.1, com 9,8 e 9,1; as pontuações CVSS 4.0 da própria PaperCut são 8,8 e 9,4. A CISA adicionou ambos ao seu catálogo Known Exploited Vulnerabilities no final de agosto de 2026, com um prazo de remediação de 14 de setembro de 2026, que os registos da NVD incluem como campo cisaExploitAdd; o aviso AV26-858 do Canadian Centre for Cyber Security diz o mesmo, e ambos os registos governamentais consideram a exploração em ambiente real como estabelecida.

O segundo é a primeira intrusão confirmada de um cliente. Chris Dance, diretor-presidente da PaperCut, escreveu um relato em primeira pessoa sobre aquela semana: às 9h42, horário da Austrália Oriental, na quinta-feira, 27 de agosto de 2026, chegou um relatório de um cliente do setor educacional cujo servidor PaperCut MF parecia comprometido, e, ao meio-dia, a empresa já havia declarado um P0. Uma segunda organização na mesma região relatou às 17h05 no mesmo dia. Os sistemas de detecção de intrusão do primeiro cliente detectaram a atividade rapidamente, e sua equipe isolou a máquina virtual, o que preservou os logs com os quais o fornecedor então trabalhou.

O terceiro é o espaço de trabalho do operador. A crónica da operação da GreyNoise abre com um espaço de trabalho criado e software descarregado às 14:44:55 UTC no último dia de agosto de 2026, e esse é o artefacto recuperado mais antigo do fluxo de trabalho do agente, e não o ataque mais antigo. A Blackpoint, que iniciou a sua investigação após conter a exploração ativa de um PaperCut Application Server exposto à Internet, data no mesmo dia a sua atividade recuperada mais antiga.

Nada do que foi publicado liga esses três. A PaperCut escreve que "não sabe nada sobre os hackers nem sobre as suas motivações"; a GreyNoise e a Blackpoint descrevem o que a sua telemetria e o diretório recuperado mostram. Se a intrusão tratada pelo fornecedor horas antes do seu próprio boletim pertence ao mesmo operador não está estabelecido em nenhuma fonte consultada para este artigo. A data do período do registro é a forma precisa de abranger tudo isso.

Dia um: um espaço de trabalho vazio e um diff de patch

A reconstrução da GreyNoise é excepcionalmente detalhada para uma intrusão deste tamanho: 25 eventos datados ao longo de quatro dias, a maioria deles no primeiro. Às 14:44:55 UTC, o operador baixa o aviso e ambas as compilações e pesquisa na internet por provas de conceito públicas. Trinta e quatro minutos depois, já existe uma primeira lista de alvos suspeitos de serem vulneráveis. Às 15:54:53, os componentes do instalador para as versões vulnerável e corrigida são extraídos e comparados, e os exploits são testados contra servidores corrigidos e não corrigidos na África — o indício mais claro de que a campanha foi construída a partir da correção, e não de um segredo.

Às 16:09:31, já existe uma ferramenta multithread e ela identifica 462 alvos potencialmente vulneráveis. Às 16:26, 1.005 endereços candidatos são resolvidos para países usando um banco de dados IP2Location LITE DB1 baixado. Às 16:35, um laboratório local é montado com um servidor Active Directory e uma instância vulnerável do PaperCut e, às 17:02, ele já contém oito usuários falsos do Active Directory. Uma entrada de 16:04:42 importa mais do que parece à primeira vista: "A MCA é solicitada a dar permissão para continuar." O fluxo de trabalho foi agêntico, não foi sem supervisão.

Às 18:39:39 UTC, os agentes têm execução remota de código e um shell em um alvo real na Austrália — pouco menos de quatro horas após a criação do workspace, segundo o resumo da GreyNoise. Às 19:14:46, as ferramentas registram 28 países a excluir, listados em ordem, da Rússia, China e Hong Kong até Namíbia, Nigéria e Zimbábue. Às 20:50, kits de intrusão "prontos para Kali" por alvo são montados, alguns capazes de criar uma conta e adicioná-la ao Domain Admin. Às 21:00, o acesso de administrador de domínio é validado no alvo australiano, que é o "primeiro administrador de domínio em duas horas adicionais" que a GreyNoise publica.

A leitura da Blackpoint do mesmo diretório abrange o que os agentes estavam fazendo entre essas etapas. Seu Adversary Pursuit Group recuperou arquivos de estado escritos da perspectiva de um assistente trabalhando nas tarefas de um usuário: um registro do primeiro dia anota o projeto "construindo o dump de material solicitado pelo usuário", e um checkpoint posterior observa que uma varredura longa havia sido "interrompida pelo usuário" antes de registrar quais alterações de engenharia fazer em seguida. Hindsight, uma camada de memória persistente para agentes de IA, e AionUI, uma interface para coordenar fluxos de trabalho conduzidos por agentes, estavam ambos presentes no ambiente mais amplo do operador. "O contexto foi preservado à medida que o projeto passou da pesquisa de vulnerabilidades para a validação de exploits, o desenvolvimento de ferramentas, a expansão de alvos e, por fim, a execução operacional", escreveram Sam Decker e Nevan Beal, da Blackpoint.

A GreyNoise nomeia o software subjacente: centenas de agentes de IA alimentados pelo Codex da OpenAI como harness e por um modelo DeepSeek — que a empresa distingue explicitamente dos modelos da própria OpenAI — trabalhando com ferramentas ofensivas disponíveis publicamente, incluindo Mimikatz, SharpHound, Certipy, Rubeus e Impacket. O ambiente recuperado pela Blackpoint acrescenta as partes que tornam um enxame gerenciável e as partes que o tornam auditável: arquivos de estado que registram o que foi tentado, o que falhou e o que a próxima sessão deve fazer a respeito.

O fornecedor viu um cliente, não um enxame.

O relato da PaperCut sobre a mesma semana vale a pena ser lido em comparação com o anterior, porque descreve como é uma intrusão vista do outro lado. A empresa primeiro perguntou se o servidor comprometido simplesmente não tinha recebido um patch. "Inicialmente, verificamos se poderia ser um ataque 'n-day'", escreve Dance. Os logs apontavam para outro lado e mostravam execução real de código no servidor, então a empresa declarou um P0 e trabalhou com a suposição de que as falhas eram desconhecidas.

A decisão de não explicar mais foi deliberada. "Estávamos tentando evitar a publicação de informações que pudessem ajudar outros atacantes enquanto os clientes ainda estavam potencialmente expostos", escreve Dance. O boletim instou os clientes a retirarem os Application Servers expostos à internet da internet pública antes que existisse uma correção, e os patches vieram às pressas: três lançamentos de emergência em cinco dias, o segundo publicado na mesma noite, após o trabalho com os pesquisadores de segurança Huntress e watchTowr, e o terceiro em 1 de setembro de 2026, depois do surgimento de duas regressões.

A frase que pertence a este registro é sobre o que o fornecedor ainda não tinha visto. “Embora na época não tivéssemos visto exploração automatizada em larga escala, temíamos que fosse apenas uma questão de tempo.” Quando o fornecedor escreveu isso, em 1 de setembro de 2026, os agentes do operador já tinham passado um dia executando a campanha a partir de um segundo host de execução. A automação que define este incidente entrou no registro público não porque uma vítima a detectou, mas porque um diretório pertencente ao operador estava acessível pela internet e a Blackpoint o encontrou.

Dia dois, e o que os números valem

A cronologia da GreyNoise registra que a lista de alvos foi atualizada com resultados do Netlas.io às 07:00 UTC do segundo dia, usando uma chave de API identificada, e que a campanha propriamente dita foi lançada às 08:30 a partir de um segundo host de execução, por meio de centenas de sessões SSH. Seu próprio log de eventos registra: acesso não autorizado a 11 organizações em 26 segundos, colheita de credenciais em menos de um minuto, 78 organizações ao final da primeira hora e privilégios de administrador de domínio em 8 delas dentro dessa hora. A TechRepublic, ao relatar a mesma pesquisa, acrescenta que o mecanismo de ataque executou até 200 threads simultâneas, com até 100 ciclos automatizados de nova tentativa.

A contenção que os agentes haviam sido instruídos a observar não se manteve. A SC Media relatou nove ataques na África do Sul e cinco no Brasil, ambos países na lista de exclusão, e o próprio relatório da GreyNoise observa vítimas na Rússia, China, Cazaquistão e Paquistão. Às 17:01 UTC daquele segundo dia, a crônica registra que o firewall de aplicações web da Cloudflare derrotou a tentativa, o que é uma ilustração tão boa quanto o registro oferece daquilo que de fato funcionou contra ela.

Todos esses números são de uma única empresa. A GreyNoise os derivou de sua própria telemetria e do diretório recuperado, e a PaperCut não os endossou: até o momento em que este texto foi escrito, o fornecedor afirma que "ainda está trabalhando com clientes, pesquisadores de segurança e parceiros para entender toda a extensão do impacto". Nenhuma organização vítima foi nomeada publicamente. O ator é caracterizado como "provavelmente falante de russo" e não recebeu nome de grupo; o IP que a GreyNoise associa à operação, 45.142.193[.]132, vinha sendo usado para atividade maliciosa desde pelo menos o início de julho de 2026 contra produtos expostos à internet da Palo Alto, Ubiquiti, Citrix, SonicWall e Proxmox VE, o que reforça a leitura de que se tratava de uma operação de acesso já estabelecida, e não de uma nova. Nenhum governo atribuiu a campanha.

O objetivo final está em aberto. "Neste momento, não podemos confirmar o objetivo final exato desta campanha", disse Nevan Beal, da Blackpoint. Em todos os três caminhos de administrador de domínio da GreyNoise, o DCSync foi usado para extrair o banco de dados NTDS.DIT, de modo que as credenciais saíram do ambiente, independentemente de haver ou não um pedido de resgate em seguida. A própria conclusão da Blackpoint sobre a IA é mais restrita do que a maior parte da cobertura sobre ela: "O impacto mais forte da IA nesta campanha não foi uma técnica de exploração inédita."

O que está estabelecido, o que tem fonte única e o que ninguém demonstrou

• Estabelecido por registros que não dependem de nenhuma das duas empresas de pesquisa: CVE-2026-81578 e CVE-2026-82078 existem, são da PaperCut e são classificados pelo NVD; a PaperCut confirmou a exploração ativa de seu próprio produto em seu boletim e no relato de seu diretor executivo; a CISA listou ambas as CVEs como exploradas com prazo em 14 de setembro de 2026; patches e versões de manutenção substitutas foram publicados.

• Estabelecido pelo lado da vítima: pelo menos dois incidentes com clientes foram reportados à PaperCut dentro de um intervalo de um dia entre si, o primeiro deles de um cliente da área de educação, e um deles demonstrou execução real de código no servidor, com logs preservados pela própria equipe de resposta a incidentes do cliente.

• Fonte única e com fortes evidências: cada quantidade no cartão acima; as varreduras de 462 alvos e 1.005 endereços; a corrida de quatro horas, de um espaço de trabalho vazio até a primeira execução remota de código; os 26 segundos. Esses dados vêm da telemetria da GreyNoise, e o diretório recuperado de forma independente pela Blackpoint corrobora o formato do fluxo de trabalho sem reproduzir as contagens.

• Inferência, declarada como inferência: que os agentes estavam fazendo a maior parte do trabalho. A GreyNoise disse à SC Media que "a esmagadora maioria das tarefas era autônoma, com um punhado de interrupções humanas percebidas", o que é um julgamento sobre um fluxo de trabalho observado em parte por meio de seus próprios logs, não uma medição. Os arquivos de estado recuperados mostram uma pessoa interrompendo, concedendo permissão e solicitando material.

• Não foi estabelecido em nenhum lugar que este artigo tenha conseguido encontrar:que a intrusão de clientes anterior ao boletim e o espaço de trabalho do operador são o mesmo ator; o propósito dos acessos; o número de vítimas reais além das 395 organizações nomeadas, que a própria GreyNoise diz estar incompleto porque algumas vítimas não puderam ser atribuídas a uma organização nomeada.

O que mudou depois

A resposta da PaperCut é a parte mais completamente documentada do registo, porque o fornecedor publicou o seu próprio histórico de correções. O boletim foi divulgado a 27 de agosto de 2026; a primeira correção de emergência surgiu poucas horas depois para as versões 25 e 26; a Release 2 chegou na mesma noite, com reforço de segurança adicional desenvolvido com a Huntress e a watchTowr, e foi alargada à versão 24; a Release 3 chegou a 1 de setembro de 2026, acumulando as correções anteriores e fechando mais vetores de ataque "que observámos serem explorados em ambiente real". A 10 de setembro de 2026, as compilações de emergência foram substituídas por versões de manutenção totalmente testadas, PaperCut NG/MF 26.0.5, 25.0.13 e 24.1.10. A versão 23 e anteriores não recebem qualquer correção e têm de passar para uma linha suportada.

A mitigação que o fornecedor defendeu com mais veemência não foi um patch: restrinja o acesso via web ao Servidor de Aplicações a apenas endereços confiáveis, usando regras de firewall ou controles de acesso à rede, "mesmo que você não tenha observado atividade suspeita". Para detecção, ele publicou indicadores específicos o suficiente para orientar a busca — alertas envolvendo atividade de pós-exploração do pc-app.exe, arquivos server.log ausentes ou truncados, e duas strings de log, "ERROR No suitable driver found for jdbc:no:x" e "ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST". As orientações da Blackpoint acrescentam escopo além do host PaperCut: verifique a criação de contas privilegiadas, o acesso a credenciais, a descoberta do Active Directory e o pivoting interno.

O quanto valiam essas medidas está, em parte, registrado. Uma build corrigida somada a um firewall de aplicação web deteve o enxame onde ambos estavam presentes, razão pela qual a conclusão do próprio GreyNoise é que "o endurecimento tradicional tem, sim, um impacto positivo". O ponto mais difícil é o que a linha do tempo evidencia: os patches existiam antes de os agentes começarem, e a campanha foi executada contra servidores que não os aplicaram nos dias seguintes à publicação.

O que o início ainda não explica

O registro documenta o início de uma campanha melhor do que quase qualquer intrusão comparável — os próprios arquivos de trabalho do operador, com carimbos de data e hora ao segundo, sobrevivem em relatos públicos — e ainda assim não consegue dizer qual era o objetivo da campanha. Nenhuma nota de resgate, nenhuma extorsão por roubo de dados e nenhuma transferência para outro grupo foi confirmada; os acessos eram consistentes com atividade de acesso inicial, o que é a caracterização da Blackpoint e não uma constatação. A PaperCut prometeu uma reconstrução técnica completa e ainda não a havia publicado até 29 de outubro de 2026.

O que sustenta a nota de confiança A do arquivo é mais estreito e mais firme do que as contagens de manchete: duas vulnerabilidades reais, um fornecedor que confirmou a exploração de seu próprio produto, um regulador que listou ambas as falhas como exploradas e um histórico de patches que qualquer pessoa pode ler. O enxame é a parte que fez desta uma entrada marcante. As evidências do enxame são um diretório que seu operador deixou acessível e a telemetria de uma empresa — o que vale a pena dizer claramente, porque a diferença entre esses dois tipos de alegação é a diferença entre aquilo sobre o que um defensor pode agir e aquilo que um defensor precisa aceitar com base na confiança.