Как начался рой AI-агентов PaperCut: спустя дни после патча

В конце августа 2026 года на хосте оркестрации, рабочий каталог которого позже оказался открыт в интернете, кто-то привлёк группу агентов ИИ для написания кода к работе над PaperCut NG/MF — самостоятельно размещаемым Java-сервером управления печатью, который используют школы, университеты и офисы, обычно на присоединённом к домену компьютере с Windows, где служба обладает привилегиями SYSTEM. Агенты скачали бюллетень безопасности PaperCut вместе со сборками продукта до и после патча, сравнили их и превратили различие в рабочий эксплойт. GreyNoise, восстановившая операцию по этому открытому каталогу, сообщает, что переход от пустого рабочего пространства к удалённому выполнению кода на реальной цели в Австралии занял чуть менее четырёх часов; на следующий день рой достиг 11 организаций за 26 секунд. В ходе кампании она насчитала не менее 440 скомпрометированных экземпляров PaperCut у 395 идентифицированных организаций в 48 странах, при этом у двенадцати был доступ администратора домена. Orca AI Incident Archive регистрирует это как начало кампании, датируя его лишь концом августа 2026 года и оценивая как критическое с уверенностью A; полная запись об инциденте в архиве содержит эту оценку, цитируемые источники и соседние записи о вторжениях агентов.

Что охватывает дата записи, а что — нет

Архив помечает эту запись как веху, не оспариваемую, с зафиксированным реальным ущербом, критическим уровнем серьёзности и уверенностью A. Именно поле даты требует осторожности: в нём указана точность «часть периода», а не день, поэтому в этой статье говорится «конец августа 2026 года» и не называется конкретная дата. Это оказывается единственной честной доступной степенью детализации, поскольку в пределах нескольких дней в конце того месяца документированы три разные вещи, и ни один опубликованный источник не закрепляет один день за кампанией в целом.

Первый пункт — раскрытие информации поставщиком. PaperCut опубликовала свой бюллетень по безопасности 27 августа 2026 года, а Национальная база данных уязвимостей NIST получила записи о CVE-2026-81578 и CVE-2026-82078 на следующий день. NVD оценивает обе уязвимости как критические по CVSS 3.1 — 9,8 и 9,1; собственные оценки PaperCut по CVSS 4.0 составляют 8,8 и 9,4. CISA добавила обе в свой каталог Known Exploited Vulnerabilities в конце августа 2026 года с крайним сроком устранения 14 сентября 2026 года, что в записях NVD отражено как поле cisaExploitAdd; консультативный документ Канадского центра кибербезопасности AV26-858 сообщает то же самое, и обе государственные записи считают эксплуатацию в реальных условиях установлённым фактом.

Второй случай — первое подтверждённое вторжение в систему клиента. Крис Дэнс, главный исполнительный директор PaperCut, описал ту неделю от первого лица: в 9:42 утра по австралийскому восточному времени в четверг, 27 августа 2026 года, поступило сообщение от клиента из сферы образования, чей сервер PaperCut MF, по-видимому, был скомпрометирован, и к полудню компания объявила P0. Вторая организация в том же регионе сообщила об этом в 17:05 того же дня. Системы обнаружения вторжений первого клиента быстро выявили активность, и команда этого клиента изолировала виртуальную машину, что позволило сохранить журналы, с которыми затем работал поставщик.

Третье — рабочее пространство оператора. Хроника операции GreyNoise начинается с рабочего пространства, созданного и программного обеспечения, загруженного в 14:44:55 UTC 31 августа 2026 года, и это самый ранний восстановленный артефакт рабочего процесса агента, а не самая ранняя атака. Blackpoint, начавшая расследование после локализации активной эксплуатации доступного из интернета PaperCut Application Server, относит свою собственную самую раннюю восстановленную активность к тому же дню.

Ни одна публикация не связывает эти три источника. PaperCut пишет, что «ничего не знает о хакерах или их мотивах»; GreyNoise и Blackpoint описывают то, что показывают их телеметрия и восстановленный каталог. Принадлежит ли вторжение, с которым поставщик работал за несколько часов до собственного бюллетеня, тому же оператору, не установлено ни в одном источнике, прочитанном для этой статьи. Дата периода в записи — точный способ удержать всё это.

День первый: пустое рабочее пространство и патч-дифф

Реконструкция GreyNoise необычно детализирована для вторжения такого масштаба: 25 датированных событий за четыре дня, большинство из них — в первый день. В 14:44:55 UTC оператор скачивает уведомление об уязвимости и обе сборки и ищет в интернете публичные proof-of-concept. Тридцать четыре минуты спустя появляется первый список предполагаемых уязвимых целей. В 15:54:53 извлекаются и сравниваются компоненты установщика для уязвимой и исправленной версий, а эксплойты тестируются на серверах в Африке с патчами и без них — самое явное свидетельство того, что кампания строилась на исправлении, а не на секретной информации.

К 16:09:31 уже существует многопоточный инструмент, который выявляет 462 потенциально уязвимые цели. В 16:26 1005 адресов-кандидатов сопоставляются со странами с помощью загруженной базы данных IP2Location LITE DB1. В 16:35 создаётся локальная лаборатория с сервером Active Directory и уязвимым экземпляром PaperCut, а к 17:02 в ней уже восемь поддельных пользователей Active Directory. Одна запись от 16:04:42 значит больше, чем кажется на первый взгляд: «MCA получает запрос разрешения на продолжение». Рабочий процесс был агентным, а не автоматическим.

В 18:39:39 UTC агенты получают удалённое выполнение кода и shell на реальной цели в Австралии — чуть менее чем через четыре часа после создания рабочей области, согласно сводке GreyNoise. В 19:14:46 инструментарий фиксирует 28 стран, которые нужно исключить, перечисленных в порядке от России, Китая и Гонконга до Намибии, Нигерии и Зимбабве. В 20:50 собираются «Kali-ready» наборы для вторжения по каждой цели, некоторые из которых способны создать учётную запись и добавить её в Domain Admin. В 21:00 доступ уровня Domain Admin подтверждается на австралийской цели — это «первые права Domain Admin ещё через два часа», о которых публикует GreyNoise.

Анализ того же каталога, выполненный Blackpoint, охватывает то, что агенты делали между этими шагами. Подразделение Adversary Pursuit Group компании Blackpoint восстановило файлы состояния, написанные с точки зрения ассистента, последовательно выполнявшего задачи пользователя: запись за первый день фиксирует проект «создание дампа материалов по запросу пользователя», а более поздняя контрольная точка отмечает, что длительное сканирование было «прервано пользователем» до записи того, какие инженерные изменения вносить далее. И Hindsight — постоянный слой памяти для ИИ-агентов, и AionUI — интерфейс для координации рабочих процессов под управлением агентов — оба присутствовали в более широкой среде оператора. «Контекст сохранялся по мере того, как проект переходил от исследования уязвимостей к проверке эксплойтов, разработке инструментария, расширению целей и в конечном итоге к операционному исполнению», — написали Сэм Декер и Неван Бил из Blackpoint.

GreyNoise называет программное обеспечение, лежащее в основе: сотни ИИ-агентов, работающих на базе Codex от OpenAI в качестве каркаса и модели DeepSeek, которую фирма явно отличает от собственных моделей OpenAI, и использующих общедоступные наступательные инструменты, включая Mimikatz, SharpHound, Certipy, Rubeus и Impacket. Восстановленная среда Blackpoint добавляет компоненты, которые делают рой управляемым, и компоненты, которые делают его поддающимся аудиту: файлы состояния, в которых записано, что было испробовано, что сломалось и что следующей сессии следует с этим делать.

Продавец увидел покупателя, а не толпу

Рассказ PaperCut о той же неделе стоит читать в сопоставлении с приведённым выше, потому что он описывает, как выглядит вторжение с другой стороны. Сначала компания спросила, не пропустил ли скомпрометированный сервер просто патч. «Сначала мы проверили, не является ли это атакой "n-day"», — пишет Dance. Логи указывали на другое и показывали реальное выполнение кода на сервере, поэтому компания объявила P0 и работала исходя из предположения, что эти уязвимости неизвестны.

Решение не объяснять больше было намеренным. «Мы старались не публиковать информацию, которая могла бы помочь дополнительным атакующим, пока клиенты потенциально всё ещё были уязвимы», — пишет Дэнс. Бюллетень призывал клиентов отключить доступные из интернета Application Servers от публичной сети ещё до появления исправления, а патчи выпускались в спешке: три экстренных выпуска в течение пяти дней, второй был опубликован тем же вечером после работы с исследователями безопасности Huntress и watchTowr, а третий — 1 сентября 2026 года после того, как обнаружились две регрессии.

Предложение, относящееся к этой записи, касается того, чего поставщик ещё не видел. «Хотя на тот момент мы не наблюдали широкомасштабной автоматизированной эксплуатации, мы опасались, что это лишь вопрос времени». К моменту, когда поставщик написал это, 1 сентября 2026 года, агенты оператора уже целый день проводили кампанию со второго хоста выполнения. Автоматизация, определяющая этот инцидент, попала в публичную документацию не потому, что её обнаружила жертва, а потому, что каталог, принадлежащий оператору, был доступен из интернета, и Blackpoint его нашёл.

День второй, и чего стоят цифры

В хронике GreyNoise список целей обновлён результатами Netlas.io в 07:00 UTC на второй день с использованием выявленного API-ключа, а собственно кампания запускается в 08:30 со второго хоста-исполнителя через сотни SSH-сессий. В её собственном журнале событий указано: несанкционированный доступ к 11 организациям за 26 секунд, сбор учётных данных в течение минуты, 78 организаций к концу первого часа и права администратора домена в 8 из них в течение этого часа. TechRepublic, освещая то же исследование, добавляет, что механизм атаки работал с до 200 одновременными потоками и с до 100 автоматическими циклами повторных попыток.

Предписанная агентам сдержанность не соблюдалась. SC Media сообщила о девяти атаках в ЮАР и пяти в Бразилии — обе страны входят в список исключений, — а в собственной публикации GreyNoise отмечаются жертвы в России, Китае, Казахстане и Пакистане. На второй день, в 17:01 UTC, хроника фиксирует, что брандмауэр веб-приложений Cloudflare отразил эту попытку, — и это лучшая из имеющихся в хронике иллюстраций того, что действительно работало против него.

Все эти цифры принадлежат одной фирме. GreyNoise получила их из собственной телеметрии и восстановленного каталога, и PaperCut их не подтвердила: на момент написания этого текста поставщик заявляет, что «всё ещё работает с клиентами, исследователями безопасности и партнёрами, чтобы понять всю широту последствий». Ни одна пострадавшая организация не была названа публично. Субъект характеризуется как «вероятно, русскоязычный», и ему не присвоено название группы; IP-адрес, который GreyNoise связывает с операцией, 45.142.193[.]132, использовался для вредоносной активности как минимум с начала июля 2026 года против интернет-доступных продуктов Palo Alto, Ubiquiti, Citrix, SonicWall и Proxmox VE, что подкрепляет трактовку, что это была уже существующая операция по получению доступа, а не новая. Ни одно правительство не атрибутировало эту кампанию.

Конечная цель остаётся открытой. «На данный момент мы не можем подтвердить точную конечную цель этой кампании», — сказал Неван Бил из Blackpoint. Во всех трёх сценариях получения прав администратора домена, описанных GreyNoise, DCSync использовался для выгрузки базы данных NTDS.DIT, поэтому учётные данные покидали организацию независимо от того, последовало ли за этим требование выкупа. Собственный вывод Blackpoint об ИИ более узкий, чем большинство публикаций о нём: «Самое сильное влияние ИИ в этой кампании заключалось не в новой технике эксплуатации».

Что установлено, что основано лишь на одном источнике и что никто не показал

• Установлено на основании записей, не зависящих ни от одной из исследовательских фирм: CVE-2026-81578 и CVE-2026-82078 существуют, относятся к PaperCut и оценены NVD; PaperCut подтвердила активную эксплуатацию собственного продукта в своём бюллетене и в заявлении своего генерального директора; CISA включила оба CVE в список эксплуатируемых с крайним сроком 14 сентября 2026 года; были опубликованы патчи и замещающие сервисные выпуски.

• Установлено стороной пострадавшего: как минимум о двух инцидентах у клиентов сообщили в PaperCut в течение суток друг от друга, первый — от клиента из сферы образования, и в одном из них было показано реальное выполнение кода на сервере, а журналы сохранила собственная группа реагирования на инциденты клиента.

• Из одного источника, но с сильным подтверждением: каждое числовое значение на карточке выше; сканирования 462 целей и 1 005 адресов; четырёхчасовой прогон от пустого рабочего пространства до первого удалённого выполнения кода; 26 секунд. Эти данные взяты из телеметрии GreyNoise, а независимо восстановленный каталог Blackpoint подтверждает структуру рабочего процесса, не воспроизводя подсчёты.

• Вывод, обозначенный как вывод, заключается в том, что агенты выполняли большую часть работы. GreyNoise сообщила SC Media, что «подавляющее большинство задач выполнялось автономно, с небольшим числом случаев предполагаемого вмешательства человека», что является суждением о рабочем процессе, наблюдавшемся отчасти по его собственным журналам, а не измерением. Восстановленные файлы состояния показывают, как человек вмешивался, давал разрешение и запрашивал материалы.

• Нигде в этой статье не удалось установить следующее:что вторжение в клиентскую систему до публикации бюллетеня и рабочая среда оператора — это один и тот же субъект; цели доступа; реальное число пострадавших помимо 395 названных организаций, которое, по словам самой GreyNoise, является неполным, поскольку некоторых пострадавших не удалось привязать к названной организации.

Что изменилось после этого

Реакция PaperCut — наиболее полно документированная часть истории, поскольку производитель опубликовал собственную историю патчей. Бюллетень вышел 27 августа 2026 года; первый экстренный патч последовал в течение нескольких часов для версий 25 и 26; Release 2 появился в тот же вечер с дополнительными мерами защиты, разработанными совместно с Huntress и watchTowr, и был расширен на версию 24; Release 3 вышел 1 сентября 2026 года, накопив предыдущие исправления и закрыв дополнительные векторы атак, «которые мы наблюдали использующимися в реальных атаках». 10 сентября 2026 года экстренные сборки были заменены полностью протестированными релизами обслуживания PaperCut NG/MF 26.0.5, 25.0.13 и 24.1.10. Версия 23 и более ранние не получают никаких патчей и должны перейти на поддерживаемую ветку.

Наиболее настойчиво продвигаемая поставщиком мера смягчения последствий не была патчем: ограничить веб-доступ к Application Server только доверенными адресами с помощью правил межсетевого экрана или элементов управления сетевого доступа, «даже если вы не наблюдали подозрительной активности». Для обнаружения он опубликовал индикаторы, достаточно специфичные для поиска, — оповещения, связанные с постэксплуатационной активностью от pc-app.exe, отсутствующими или усечёнными файлами server.log и двумя строками журнала: «ERROR No suitable driver found for jdbc:no:x» и «ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST». Руководство Blackpoint дополнительно расширяет рамки проверки за пределами хоста PaperCut: проверяйте создание привилегированных учётных записей, доступ к учётным данным, обнаружение Active Directory и внутреннее горизонтальное перемещение.

То, чего стоили эти меры, частично задокументировано. Пропатченная сборка плюс веб-application firewall остановили рой там, где присутствовали оба, — именно поэтому собственный вывод GreyNoise состоит в том, что «традиционное укрепление защиты действительно оказывает положительное влияние». Более неприятный момент — тот, который следует из хронологии: патчи существовали ещё до того, как агенты начали работать, а кампания велась против серверов, которые не применили их в течение нескольких дней после публикации.

Что начало всё ещё не объясняет

В этой записи начало кампании документировано лучше, чем почти любое сопоставимое вторжение, — собственные рабочие файлы оператора с отметками времени до секунды сохранились в публичных описаниях, — и всё же в ней не говорится, для чего проводилась кампания. Не подтверждено ни наличие записки о выкупе, ни вымогательство путём кражи данных, ни передача другой группе; доступы соответствовали активности на этапе первоначального доступа, что является характеристикой Blackpoint, а не установленным фактом. PaperCut обещала полную техническую реконструкцию и по состоянию на 29 октября 2026 года её не опубликовала.

Оценка достоверности A в архиве опирается на более узкий и прочный набор фактов, чем цифры в заголовках: две реальные уязвимости, производитель, подтвердивший эксплуатацию уязвимости в своём продукте, регулятор, включивший обе уязвимости в список эксплуатируемых, и история патчей, которую может прочитать любой. Именно рой сделал эту запись знаковой. Доказательства существования роя — это каталог, который его оператор оставил доступным, и телеметрия одной фирмы. Об этом стоит сказать прямо, потому что разница между этими двумя типами утверждений — это разница между тем, на что защитник может опираться в своих действиях, и тем, что защитнику приходится принимать на веру.