Um enxame de agentes de IA passou pelo PaperCut e entrou em 395 organizações. Doze acabaram em Domain Admin.

No fim de agosto de 2026, um operador com um laboratório auto-hospedado, uma chave de API de serviço de varredura e centenas de agentes de IA executando no OpenAI Codex e em um modelo DeepSeek atacou instâncias do PaperCut NG e do PaperCut MF expostas à internet, o software de gerenciamento de impressão que fica nas redes de escolas e campi. De acordo com a GreyNoise, que publicou a análise da campanha em setembro de 2026, o ator comprometeu pelo menos 440 instâncias do PaperCut hospedadas por 395 organizações identificadas em 48 países, chegou a administrador de domínio do Active Directory em 12 delas e, em um caso, passou do primeiro acesso a administrador de domínio completo em uma escola de ensino médio dos Estados Unidos em sete minutos. A PaperCut confirmou exploração ativa e “incidentes confirmados com clientes” em seu próprio comunicado, mas não publicou uma contagem de vítimas e afirma que não consegue avaliar o escopo total do impacto. A própria classificação de gravidade, a avaliação de confiança e a lista de fontes do registro estão em arquivo de incidentes de IA, ao lado das outras entradas de intrusão agêntica arquivadas em torno dele.

Os bugs já tinham sido corrigidos quando o enxame chegou

A campanha usou duas vulnerabilidades que se encadeiam. A CVE-2026-81578 é uma falha de autenticação ausente — CWE-306 na classificação do próprio PaperCut — na interface de gerenciamento web do PaperCut MF e NG, em que solicitações remotas não autenticadas direcionadas a funções administrativas podem disparar ações de back-end antes que a validação de acesso seja concluída. No boletim do fornecedor, o impacto é declarado de forma restrita: um atacante não autenticado pode modificar determinadas configurações do sistema. A CVE-2026-82078 é a segunda metade. O PaperCut a descreve como carregamento dinâmico de classes inseguro nos utilitários de conexão com banco de dados, CWE-470, em que a aplicação instancia classes de driver de banco de dados a partir de nomes de driver configuráveis sem verificá-las em relação a uma lista de permissões. Um atacante que consiga alterar essa configuração pode executar bytecode Java arbitrário presente no classpath da aplicação, no contexto de segurança do processo do servidor PaperCut. O PaperCut classifica a primeira como 8,8 e a segunda como 9,4 no CVSS 4.0; as entradas do NVD no CVSS 3.1 trazem 9,8 e 9,1, e as duas escalas não devem ser comparadas entre si.

O que torna o par perigoso é o contexto, e não cada bug isoladamente. O PaperCut NG e o MF são aplicações web Java auto-hospedadas que, conforme observa a GreyNoise, são executadas por padrão com privilégios de nível SYSTEM no Windows e normalmente estão ingressadas no domínio e integradas ao Active Directory. Um servidor de impressão é um alvo de baixo valor isoladamente e de alto valor em um domínio.

Vale corrigir um ponto de enquadramento, porque boa parte da cobertura as chamou de zero-days. Quando o swarm foi executado, elas já não eram. A PaperCut publicou o boletim e lançou patches de emergência no final de agosto de 2026, e as entradas do NVD para ambas as CVEs foram publicadas na mesma janela; a reconstrução da GreyNoise mostra o ator baixando tanto o instalador pré-patch quanto o pós-patch, extraindo os componentes e comparando-os para encontrar a vulnerabilidade. A campanha que atingiu 395 organizações foi exploração n-day de servidores que não haviam aplicado a correção, executada poucos dias após a divulgação.

O que o enxame fez nas suas primeiras horas

A sequência que a GreyNoise reconstruiu a partir de sua malha de sensores e da própria infraestrutura do ator é a substância da descoberta, porque nada disso exigiu uma nova técnica de exploração. A partir de um espaço de trabalho vazio, o ator baixou o aviso de segurança e as duas builds, extraiu e comparou os instaladores, buscou provas de conceito públicas e montou um laboratório contendo um servidor PaperCut vulnerável e um servidor Active Directory. Em paralelo, agentes montaram listas de alvos por meio do serviço de varredura da internet Netlas.io usando uma chave de API que foi recuperada do ambiente do operador. Uma ferramenta recuperada identificou 462 alvos potencialmente vulneráveis; 1.005 endereços candidatos foram resolvidos para países usando um banco de dados IP2Location LITE DB1 baixado. Pouco menos de quatro horas depois de o espaço de trabalho ser aberto, o ator obteve execução remota de código contra uma vítima real, na Austrália. Duas horas depois disso, já tinha privilégios de administrador de domínio.

A campanha propriamente dita começou a partir de um segundo host de execução, alcançado por meio de centenas de sessões SSH. As medições da GreyNoise sobre o lançamento são os números que tornam este registro um marco: acesso não autorizado a 11 organizações em 26 segundos, credenciais coletadas dentro de um minuto, 78 organizações na primeira hora e administrador de domínio em oito delas dentro dessa hora. Em seguida, vieram acessos a mais de 223 sistemas PaperCut, e depois o restante.

O acesso de administrador de domínio não ocorreu em todos os casos, e o artigo que noticiou a campanha foi lido como se tivesse ocorrido. A GreyNoise observou administrador de domínio em apenas 12 organizações vítimas. Onde houve sucesso, a escalada mais rápida foi de cinco minutos e a mais longa, de 144 minutos. Em outros casos, o ator entrou e parou, às vezes por dias — atrasos que a GreyNoise atribui ao fato de o ator não ter dado seguimento, e não a qualquer controle que tenha contido o avanço.

Três maneiras de chegar a administrador de domínio, e um firewall que resistiu

GreyNoise documentou três caminhos de escalonamento e, em todos eles, um DCSync contra o controlador de domínio para produzir um dump completo do NTDS.DIT do repositório de credenciais da organização. Onde o host PaperCut comprometido era membro do domínio, o ator coletou a memória do processo LSASS e segredos do registro para recuperar credenciais privilegiadas e fazer pass-the-hash para o controlador de domínio. Onde a vítima não havia corrigido CVE-2021-42278 e CVE-2021-42287 — o par de 2021 por trás da técnica de spoofing de sAMAccountName conhecida como noPac — o ator usou esse caminho em vez disso. Onde o host PaperCut era o próprio controlador de domínio, ou era executado sob uma conta de serviço de administrador de domínio, o ator simplesmente adicionou a conta que havia criado a Domain Admins.

O kit de ferramentas de pós-exploração está listado no relatório da GreyNoise e inclui Certipy, Mimikatz, SharpHound, Rubeus e Impacket, juntamente com o despejo de hive do registro por meio de reg save e certutil, um coletor de bootkey e um túnel Ligolo-ng implantado para persistência. O boletim da PaperCut acrescenta seu próprio conjunto de indicadores: um serviço do Windows chamado "Remote Access Service" executando SimpleService.exe a partir de um caminho JWrapper como LocalSystem, e instalações inesperadas do AnyDesk — ambos observados na sequência de pós-comprometimento publicada pelo fornecedor, juntamente com um payload obtido de um host de compartilhamento de arquivos cerca de dezesseis minutos após o início dessa sequência.

O único controle que visivelmente funcionou foi pouco glamouroso. Contra pelo menos um alvo protegido pelo firewall de aplicação web da Cloudflare, o ataque falhou por completo. A GreyNoise também registra que o agente notou problemas de desempenho e reduziu sua contagem de threads contra alvos nos Estados Unidos — um ajuste operacional, não uma vitória defensiva.

A lista de exclusão que os agentes ignoraram

O ator carregava uma lista de 28 países a evitar: Rússia, China, Hong Kong, Tailândia, Irã, Venezuela, Bielorrússia, Cazaquistão, Quirguistão, Tadjiquistão, Turcomenistão, Uzbequistão, Armênia, Azerbaijão, Moldávia, Ucrânia, Brasil, Vietnã, Indonésia, Paquistão, Tanzânia, Bangladesh, Afeganistão, Turquia, África do Sul, Namíbia, Nigéria e Zimbábue. {{1}}GreyNoise{{/1}} diz que a lista sobreviveu de campanhas anteriores e que foi aplicada como filtro no pipeline de direcionamento — os alvos foram geolocalizados, depois filtrados por país e política de exclusão antes de terem a atividade verificada.

Não se sustentou. A própria formulação da GreyNoise é que “nossa vitimologia observada mostra que a tentativa de contenção falhou em algumas instâncias”, e o relatório deixa em aberto por que os agentes se desviaram. O SC Media, ao noticiar as descobertas da GreyNoise, deu números concretos para a falha: nove ataques na África do Sul e cinco no Brasil, ambos na lista de exclusão. Esse detalhe importa para qualquer pessoa que leia isto como uma história sobre um operador disciplinado e supervisionado. O pipeline foi criado para impor uma fronteira política e a automação a cruzou de qualquer forma.

O próprio relato da PaperCut sobre os dois primeiros dias

O lado da PaperCut nisso está documentado separadamente, em uma postagem no blog da empresa e em um boletim que ela atualizou repetidamente. A empresa afirma que um relatório chegou à sua equipe de resposta a incidentes de segurança às 9h42 e que o primeiro cliente afetado, do setor educacional, contava com uma equipe de segurança e forense digital cuja detecção de intrusão captou o comportamento rápido o suficiente para isolar a máquina virtual e preservar os logs que deram à PaperCut sua primeira pista sobre a cadeia de exploração. Uma segunda organização na mesma região relatou atividade semelhante na tarde de quinta-feira; seus logs permitiram à PaperCut identificar e reconstruir muito mais da cadeia. A PaperCut credita aos pesquisadores da watchTowr e da Huntress, entre independentes, a análise da atividade em seus próprios clientes e o teste das mitigações de emergência, às vezes encontrando lacunas de endurecimento.

A descrição da falha feita pelo próprio fornecedor é mais franca do que a maioria dos relatos pós-incidente. A PaperCut diz que a cadeia consistia em um bypass de autenticação no produto principal, seguido de um exploit em várias etapas que levava à execução remota de código; que uma das partes abusava de um recurso raramente usado para consultar números de cartão em um banco de dados externo; e que os atacantes combinaram o comportamento do driver de banco de dados com gravação arbitrária de arquivos e carregamento de classes Java para implantar e executar seu payload. O autor do post observa que o código de bypass de autenticação no início da cadeia vinha de código para o qual ele havia contribuído pessoalmente ao longo dos anos, e que a vulnerabilidade não foi encontrada durante o reforço de segurança que se seguiu ao incidente da PaperCut em 2023.

Por que a divulgação foi escassa no início também é dito claramente: a empresa estava tentando não publicar pistas que ajudassem outros atacantes enquanto os clientes ainda estavam expostos. A PaperCut diz que publicará uma reconstrução técnica completa e um relatório pós-incidente quando for improvável que isso crie mais risco. Em finais de outubro de 2026, essa reconstrução ainda não havia aparecido.

O que mudou depois

O caminho de remediação passou por três patches de emergência seguidos de uma versão oficial. A PaperCut lançou as Emergency Patch Releases 1, 2 e 3 em rápida sucessão e, depois, substituiu-as pelas versões de manutenção 26.0.5, 25.0.13 e 24.1.10, que descreve como compilações totalmente testadas pelo QA, contendo as mesmas correções, além de reforços adicionais, e com notas de versão normais. Os clientes que usam as compilações de emergência são instruídos a migrar para uma versão de manutenção; os clientes que não têm nada instalado são instruídos a atualizar agora. O boletim também instrui qualquer pessoa que esteja a executar um Application Server exposto à Internet a restringir imediatamente o acesso web a endereços de confiança, quer tenha ou não detetado atividade suspeita, e diz a quem suspeitar de comprometimento que preserve as cópias de segurança, apague e reconstrua o servidor e restaure uma cópia de segurança limpa feita antes do comportamento suspeito.

Os reguladores avançaram no mesmo calendário. A CISA adicionou ambas as CVEs ao seu catálogo Known Exploited Vulnerabilities dias após o início da campanha, com prazo de remediação em meados de setembro de 2026 sob sua diretiva BOD 26-04; o catálogo registra ambas como ações obrigatórias com instruções do fornecedor e lista o uso conhecido de ransomware como desconhecido. Esse último campo é o estado honesto da questão dos danos: credenciais e segredos de domínio foram roubados, ferramentas de acesso remoto foram instaladas em pelo menos alguns hosts, e nenhuma implantação de ransomware foi atribuída a esta campanha em nenhuma das fontes revisadas aqui.

O boletim da PaperCut, atualizado até setembro de 2026, relata que o ritmo de novos comprometimentos havia desacelerado consideravelmente, que, até então, a maioria dos clientes havia movido seu Application Server para trás de um firewall ou para uma build corrigida, e que servidores deixados publicamente acessíveis e sem patch ainda estavam sendo atacados — com o comportamento pós-comprometimento na segunda onda mais sofisticado do que nos primeiros dias.

O que está estabelecido e o que depende da telemetria de uma única empresa

Três coisas estão documentadas de forma independente. As vulnerabilidades são reais e descritas nos mesmos termos pelo fornecedor e pelo NVD. A exploração ativa é confirmada pela própria PaperCut, que afirma estar ciente de incidentes confirmados em clientes. E as duas CVEs estão no catálogo da CISA de vulnerabilidades sabidamente exploradas na natureza, o que é uma declaração governamental de que a exploração ocorreu, não de sua extensão.

Tudo o que é quantitativo acima disso — 440 instâncias, 395 organizações, 48 países, 12 administradores de domínio, sete minutos, 26 segundos — é a contagem da GreyNoise, derivada de sua própria grade de observação e da infraestrutura que ela atribui ao ator em 45.142.193[.]132. Isso não foi publicado pela PaperCut, pela CISA nem por qualquer governo afetado. Parte disso foi corroborada de forma independente em espécie, e não em número: o Adversary Pursuit Group da Blackpoint Cyber chegou à mesma infraestrutura por meio de sua própria resposta a incidentes e recuperou o diretório de trabalho do operador, e o The Hacker News relata que a Arctic Wolf já havia sinalizado o mesmo endereço IP por atividade de varredura e força bruta. Ninguém publicou uma contagem concorrente de vítimas.

A própria limitação da PaperCut é a declaração mais justa da lacuna, e está no boletim: "Nossa visão sobre ambientes individuais é limitada, portanto não podemos confirmar nem avaliar o escopo completo do impacto de um servidor comprometido." Isso é um fornecedor se recusando a endossar um número que não consegue ver, não uma contestação da descoberta da GreyNoise. O registro de arquivo deste incidente não está marcado como contestado, e nada encontrado nas fontes revisadas aqui o contradiz.

O que permanece desconhecido tem mais consequências do que o que é conhecido. Nenhuma vítima foi nomeada por ninguém. A GreyNoise diz que fez parceria com empresas de resposta a incidentes para notificações às vítimas, e essas notificações são privadas. Se os acessos foram criados para serem vendidos a outro grupo, ou para serem usados diretamente para extorsão ou ransomware, permanece indefinido: Nevan Beal, da Blackpoint, é citado dizendo que a metodologia do ator é consistente com atividade de acesso inicial e que o objetivo final exato não pode ser confirmado. Intrusões anteriores envolvendo a exploração do PaperCut terminaram em extorsão, o que é contexto, não evidência sobre esta.

O que a IA realmente mudou

O instinto é ler isto como uma máquina encontrando um exploit inédito. As pessoas que o examinaram dizem o contrário, e essa é a descoberta mais útil. A avaliação da Blackpoint é que o impacto mais forte da IA na campanha não foi uma técnica de exploit inédita, mas a redução do esforço humano necessário para pesquisar, desenvolver, depurar, classificar, rastrear, tentar novamente e melhorar continuamente a exploração em centenas de sistemas reais. O espaço de trabalho recuperado preservava o estado do projeto entre sessões — trabalho concluído, bloqueios, próximas hipóteses, alterações de código, status da campanha — e a seleção de alvos era tratada como um funil, mesclando listas de fontes, geolocalizando e filtrando candidatos, verificando a alcançabilidade antes de sondagens mais pesadas e reciclando falhas por meio de rodadas de nova tentativa.

A Blackpoint também nomeia as ferramentas que tornaram essa continuidade possível: Hindsight, descrito como uma camada de memória persistente para agentes de IA, e AionUI, uma interface para coordenar fluxos de trabalho orientados por agentes, ambos presentes no ambiente mais amplo do operador. O relatório da GreyNoise nomeia os modelos — OpenAI Codex como harness e um modelo DeepSeek — e observa que as salvaguardas dos modelos de fronteira nos Estados Unidos não impediram o trabalho. Os arquivos de estado recuperados leem-se como um assistente trabalhando em tarefas para um usuário: um registra o projeto "montando o dump de material solicitado pelo usuário", outro que uma longa varredura foi "interrompida pelo usuário."

A leitura dos defensores das mesmas evidências é deliberadamente sem glamour. O Grupo de Inteligência de Ameaças do Google alertou no início de setembro de 2026 que os adversários mais visionários estavam adicionando capacidade agêntica em todo o ciclo de vida do ataque, e Kelli Vanderlee, desse grupo, disse ao Dark Reading que os fundamentos de segurança de longa data ainda se aplicam, com autenticação multifator, permissões mais restritas, tempos de vida de tokens de sessão mais curtos e detecção comportamental fazendo o trabalho. Cliff Steinhauer, da National Cybersecurity Alliance, fez o ponto complementar ao mesmo veículo: automatize a detecção e a resposta, mas não tire os humanos da equação. A própria conclusão da GreyNoise segue o mesmo caminho, e há um exemplo prático por trás dela — um firewall de aplicação web e uma build corrigida derrotaram o enxame onde estavam presentes.

É este o estado do registro em finais de outubro de 2026. Um servidor de impressão, corrigido mas não em todos os lugares, foi suficiente para dar a uma campanha automatizada um ponto de apoio em 395 organizações e acesso de administrador de domínio em doze delas, numa operação cujo operador humano sobretudo escrevia prompts e lia arquivos de estado. A reconstrução técnica que permitiria aos defensores verificar a cadeia por si próprios foi prometida pelo fornecedor e ainda não foi publicada; a lista de vítimas existe apenas em notificações privadas; e a questão de para que serviam os acessos não tem resposta pública.