จุดเริ่มต้นของ PaperCut AI Agent Swarm: ไม่กี่วันหลังการแพตช์

ในช่วงปลายเดือนสิงหาคม 2026 บนโฮสต์ออร์เคสเตรชันแห่งหนึ่งซึ่งไดเรกทอรีทำงานของโฮสต์ถูกเปิดเผยสู่อินเทอร์เน็ตสาธารณะในภายหลัง มีคนตั้งกลุ่มเอเจนต์เขียนโค้ด AI ให้ทำงานกับ PaperCut NG/MF — เซิร์ฟเวอร์จัดการงานพิมพ์ Java ที่โฮสต์เองซึ่งโรงเรียน มหาวิทยาลัย และสำนักงานใช้งาน โดยปกติจะรันบนเครื่อง Windows ที่เข้าร่วมโดเมนซึ่งบริการมีสิทธิ์ระดับ SYSTEM เอเจนต์เหล่านี้ดาวน์โหลดคำแนะนำด้านความปลอดภัยของ PaperCut พร้อมกับบิลด์ก่อนและหลังแพตช์ของผลิตภัณฑ์ นำมาเปรียบเทียบความต่าง และเปลี่ยนความต่างนั้นให้เป็นเอ็กซ์พลอยต์ที่ใช้งานได้จริง GreyNoise ซึ่งสร้างกระบวนการขึ้นใหม่จากไดเรกทอรีที่ถูกเปิดเผยนั้น ระบุว่ากระบวนการนี้ใช้เวลาจากพื้นที่ทำงานว่างเปล่าไปสู่การรันโค้ดจากระยะไกลบนเป้าหมายจริงในออสเตรเลียภายในเวลาไม่ถึงสี่ชั่วโมง วันถัดมา ฝูงเอเจนต์เข้าถึง 11 องค์กรภายใน 26 วินาที ตลอดแคมเปญนี้ GreyNoise นับอินสแตนซ์ PaperCut ที่ถูกบุกรุกอย่างน้อย 440 อินสแตนซ์ใน 395 องค์กรที่ระบุได้ใน 48 ประเทศ โดย 12 แห่งมีการเข้าถึงระดับผู้ดูแลโดเมน Orca AI Incident Archive บันทึกเหตุการณ์นี้เป็นจุดเริ่มต้นของแคมเปญ โดยระบุวันที่เพียงช่วงปลายเดือนสิงหาคม 2026 และให้เกรดว่าอยู่ในระดับวิกฤตด้วยความมั่นใจระดับ A; บันทึกเหตุการณ์ฉบับเต็มของคลังข้อมูล ประกอบด้วยการให้เกรดดังกล่าว แหล่งข้อมูลที่อ้างอิง และรายการเหตุการณ์การบุกรุกโดยเอเจนต์ที่อยู่ข้างเคียง

สิ่งที่วันที่ในบันทึกครอบคลุม และสิ่งที่ไม่ได้ครอบคลุม

คลังข้อมูลกำหนดรายการนี้เป็นหมุดหมายสำคัญ โดยไม่มีข้อโต้แย้ง มีการบันทึกความเสียหายจริง ระดับความรุนแรงอยู่ในขั้นวิกฤต และความเชื่อมั่นระดับ A ฟิลด์วันที่เป็นส่วนที่ต้องระมัดระวัง: ฟิลด์นี้มีความละเอียดระดับส่วนหนึ่งของช่วงเวลา ไม่ใช่ระดับวัน จึงเป็นเหตุให้บทความนี้ระบุว่าปลายเดือนสิงหาคม 2026 และไม่กำหนดวันที่เจาะจง ปรากฏว่านั่นเป็นความละเอียดเดียวที่ซื่อตรงซึ่งมีอยู่ เพราะมีสามสิ่งต่างกันที่ได้รับการบันทึกไว้ภายในช่วงไม่กี่วันตอนปลายเดือนนั้น และไม่มีแหล่งที่เผยแพร่ใดกำหนดวันเดียวสำหรับแคมเปญโดยรวม

รายการแรกคือการเปิดเผยจากผู้จำหน่าย PaperCut เผยแพร่ประกาศด้านความปลอดภัยเมื่อวันที่ 27 สิงหาคม 2026 และ National Vulnerability Database ของ NIST ได้รับบันทึกสำหรับ CVE-2026-81578 และ CVE-2026-82078 ในวันถัดมา NVD ให้คะแนนทั้งสองรายการเป็นระดับวิกฤตตาม CVSS 3.1 ที่ 9.8 และ 9.1 ส่วนคะแนน CVSS 4.0 ของ PaperCut เองคือ 8.8 และ 9.4 CISA เพิ่มทั้งสองรายการเข้าสู่แคตตาล็อก Known Exploited Vulnerabilities เมื่อปลายเดือนสิงหาคม 2026 โดยมีกำหนดแก้ไขภายในวันที่ 14 กันยายน 2026 ซึ่งบันทึกของ NVD ระบุเป็นฟิลด์ cisaExploitAdd คำแนะนำ AV26-858 ของ Canadian Centre for Cyber Security กล่าวตรงกัน และบันทึกของรัฐบาลทั้งสองฉบับถือว่าการใช้ประโยชน์จากช่องโหว่ในสภาพแวดล้อมจริงเป็นที่ยืนยันแล้ว

เหตุการณ์ที่สองคือการบุกรุกของลูกค้าครั้งแรกที่ได้รับการยืนยัน Chris Dance ซีอีโอของ PaperCut ได้เขียนบันทึกในมุมมองบุคคลที่หนึ่งเกี่ยวกับสัปดาห์นั้นว่า เมื่อเวลา 09:42 น. ตามเวลาออสเตรเลียตะวันออก วันพฤหัสบดีที่ 27 สิงหาคม 2026 มีรายงานจากลูกค้าในภาคการศึกษารายหนึ่งซึ่งเซิร์ฟเวอร์ PaperCut MF ดูเหมือนถูกบุกรุก และภายในเที่ยงวัน บริษัทได้ประกาศสถานะ P0 องค์กรที่สองในภูมิภาคเดียวกันรายงานเมื่อเวลา 17:05 น. ของวันเดียวกัน ระบบตรวจจับการบุกรุกของลูกค้ารายแรกตรวจพบกิจกรรมได้อย่างรวดเร็ว และทีมของลูกค้าได้แยกเครื่องเสมือนออกมา ซึ่งช่วยรักษาบันทึกที่ผู้ขายนำไปใช้ในการสืบสวนต่อมา

ส่วนที่สามคือพื้นที่ทำงานของผู้ปฏิบัติการ บันทึกเหตุการณ์ของ GreyNoise เกี่ยวกับปฏิบัติการนี้เริ่มต้นด้วยพื้นที่ทำงานที่ถูกสร้างขึ้นและซอฟต์แวร์ที่ถูกดาวน์โหลดเมื่อเวลา 14:44:55 UTC ของวันสุดท้ายของเดือนสิงหาคม 2026 และนั่นคืออาร์ติแฟกต์ที่กู้คืนได้เร็วที่สุดของเวิร์กโฟลว์เอเจนต์ ไม่ใช่การโจมตีที่เร็วที่สุด Blackpoint ซึ่งเริ่มการสืบสวนหลังจากการควบคุมการโจมตีที่เกิดขึ้นจริงต่อ PaperCut Application Server ที่เปิดสู่อินเทอร์เน็ต ระบุว่ากิจกรรมที่กู้คืนได้เร็วที่สุดของตนเองตรงกับวันเดียวกัน

ไม่มีแหล่งเผยแพร่ใดเชื่อมโยงทั้งสามเรื่องนี้เข้าด้วยกัน PaperCut เขียนว่าตน "ไม่ทราบข้อมูลใด ๆ เกี่ยวกับแฮกเกอร์หรือแรงจูงใจของพวกเขา" ขณะที่ GreyNoise และ Blackpoint อธิบายสิ่งที่ข้อมูลเทเลเมทรีและไดเรกทอรีที่กู้คืนมาได้แสดงให้เห็น ส่วนการบุกรุกที่ผู้ขายจัดการเมื่อไม่กี่ชั่วโมงก่อนประกาศของตนเองจะเป็นของผู้ดำเนินการรายเดียวกันหรือไม่นั้น ไม่มีการยืนยันในแหล่งข้อมูลใด ๆ ที่อ่านเพื่อประกอบบทความนี้ วันที่ของช่วงเวลาที่ระบุในบันทึกเป็นวิธีที่ถูกต้องในการครอบคลุมข้อมูลทั้งหมด

วันที่หนึ่ง: พื้นที่ทำงานที่ว่างเปล่าและแพตช์ดิฟฟ์

การประกอบภาพเหตุการณ์ขึ้นใหม่ของ GreyNoise มีความละเอียดผิดปกติสำหรับการบุกรุกที่มีขนาดเช่นนี้: เหตุการณ์ที่ระบุวันที่ 25 เหตุการณ์ตลอดสี่วัน โดยส่วนใหญ่อยู่ในวันแรก เมื่อเวลา 14:44:55 UTC ผู้ปฏิบัติการดาวน์โหลดประกาศคำเตือนและไบลด์ทั้งสองแบบ แล้วค้นหาบนอินเทอร์เน็ตเพื่อหา proof of concept สาธารณะ สามสิบสี่นาทีต่อมา รายการแรกของเป้าหมายที่สงสัยว่ามีช่องโหว่ก็ปรากฏขึ้น เมื่อเวลา 15:54:53 องค์ประกอบตัวติดตั้งสำหรับเวอร์ชันที่มีช่องโหว่และเวอร์ชันที่แพตช์แล้วถูกแยกออกมาและเปรียบเทียบความต่าง และมีการทดสอบ Exploit กับเซิร์ฟเวอร์ที่แพตช์แล้วและยังไม่แพตช์ในแอฟริกา — ซึ่งเป็นหลักฐานที่ชัดเจนที่สุดว่าแคมเปญนี้สร้างขึ้นจากแพตช์แก้ไข มากกว่าจะมาจากความลับ

ภายใน 16:09:31 มีเครื่องมือแบบหลายเธรดอยู่แล้วและระบุเป้าหมายที่อาจมีช่องโหว่ได้ 462 เป้าหมาย เมื่อเวลา 16:26 ที่อยู่ที่เป็นไปได้ 1,005 รายการถูกแปลงเป็นประเทศโดยใช้ฐานข้อมูล IP2Location LITE DB1 ที่ดาวน์โหลดมา เมื่อเวลา 16:35 มีการสร้างแล็บท้องถิ่นขึ้นด้วยเซิร์ฟเวอร์ Active Directory และอินสแตนซ์ PaperCut ที่มีช่องโหว่ และภายในเวลา 17:02 แล็บนั้นมีผู้ใช้ Active Directory ปลอมแปดคน หนึ่งรายการจาก 16:04:42 สำคัญกว่าที่เห็นในแวบแรก: "MCA ได้รับการแจ้งให้อนุญาตดำเนินการต่อ" เวิร์กโฟลว์เป็นแบบเอเจนต์ ไม่ใช่แบบไม่มีผู้ดูแล

เมื่อ 18:39:39 UTC เอเจนต์มีความสามารถในการรันโค้ดจากระยะไกล (remote code execution) และมีเชลล์บนเป้าหมายจริงในออสเตรเลีย — ไม่ถึงสี่ชั่วโมงหลังจากสร้าง workspace ตามสรุปของ GreyNoise เมื่อ 19:14:46 เครื่องมือบันทึก 28 ประเทศที่ต้องยกเว้น โดยเรียงลำดับจากรัสเซีย จีน และฮ่องกง ไปจนถึงนามิเบีย ไนจีเรีย และซิมบับเว เมื่อ 20:50 ชุดเครื่องมือบุกรุกที่ "พร้อมใช้กับ Kali" สำหรับแต่ละเป้าหมายถูกประกอบขึ้น บางชุดสามารถสร้างบัญชีและเพิ่มบัญชีนั้นเข้าใน Domain Admin เมื่อ 21:00 การเข้าถึงระดับ domain-admin ได้รับการตรวจสอบยืนยันที่เป้าหมายออสเตรเลีย ซึ่งเป็น "domain admin รายแรกในอีกสองชั่วโมงถัดมา" ที่ GreyNoise เผยแพร่

การอ่านไดเรกทอรีเดียวกันของ Blackpoint ครอบคลุมสิ่งที่เอเจนต์ทำระหว่างขั้นตอนเหล่านั้น กลุ่ม Adversary Pursuit Group ของบริษัทฯ กู้คืนไฟล์สถานะที่เขียนจากมุมมองของผู้ช่วยที่ดำเนินงานตามภารกิจของผู้ใช้: บันทึกของวันแรกระบุว่าโครงการกำลัง "สร้างดัมพ์เนื้อหาตามที่ผู้ใช้ร้องขอ" และจุดตรวจสอบภายหลังระบุว่าการสแกนแบบยาวถูก "ผู้ใช้ขัดจังหวะ" ก่อนที่จะบันทึกว่าควรทำการเปลี่ยนแปลงทางวิศวกรรมใดต่อไป Hindsight ซึ่งเป็นชั้นความจำแบบถาวรสำหรับเอเจนต์ AI และ AionUI ซึ่งเป็นอินเทอร์เฟซสำหรับประสานงานเวิร์กโฟลว์ที่ขับเคลื่อนด้วยเอเจนต์ ต่างก็มีอยู่ในสภาพแวดล้อมของผู้ปฏิบัติการที่กว้างขึ้น "บริบทได้รับการรักษาไว้ในขณะที่โครงการเคลื่อนจากการวิจัยช่องโหว่ไปสู่การตรวจสอบเอกซ์พลอยต์ การพัฒนาเครื่องมือ การขยายเป้าหมาย และท้ายที่สุดคือการดำเนินการเชิงปฏิบัติการ" เขียนโดย Sam Decker และ Nevan Beal แห่ง Blackpoint

GreyNoise ระบุชื่อซอฟต์แวร์ที่อยู่เบื้องหลัง: เอเจนต์ AI หลายร้อยตัวที่ขับเคลื่อนโดย Codex ของ OpenAI ในฐานะฮาร์เนส และโมเดล DeepSeek ซึ่งบริษัทฯ แยกความแตกต่างอย่างชัดเจนจากโมเดลของ OpenAI เอง โดยทำงานร่วมกับเครื่องมือโจมตีที่เปิดเผยต่อสาธารณะซึ่งรวมถึง Mimikatz, SharpHound, Certipy, Rubeus และ Impacket สภาพแวดล้อมที่ Blackpoint กู้คืนมาได้นั้นเพิ่มส่วนที่ทำให้ฝูงเอเจนต์จัดการได้และส่วนที่ทำให้ตรวจสอบได้: ไฟล์สถานะที่บันทึกว่ามีการลองอะไรไปแล้ว อะไรพัง และเซสชันถัดไปควรทำอย่างไรกับเรื่องนั้น

ผู้ขายมองเห็นลูกค้า ไม่ใช่ฝูงชน

เรื่องราวของ PaperCut เกี่ยวกับสัปดาห์เดียวกันนั้นคุ้มค่าที่จะอ่านเทียบกับเรื่องข้างต้น เพราะมันอธิบายว่าการบุกรุกมีหน้าตาอย่างไรเมื่อมองจากอีกฝั่ง บริษัทเริ่มต้นด้วยการถามว่าเซิร์ฟเวอร์ที่ถูกโจมตีนั้นเพียงแค่พลาดการแพตช์หรือไม่ “ในตอนแรกเรา looked at whether this might be an ‘n-day’ attack” Dance เขียน บันทึกชี้ไปที่อื่นและแสดงให้เห็นการรันโค้ดจริงบนเซิร์ฟเวอร์ ดังนั้นบริษัทจึงประกาศ P0 และดำเนินการบนสมมติฐานว่าช่องโหว่เหล่านั้นยังไม่เป็นที่รู้จัก

การตัดสินใจที่จะไม่อธิบายให้มากไปกว่านี้เป็นเจตนาที่ตั้งใจไว้ "เราพยายามหลีกเลี่ยงการเผยแพร่ข้อมูลที่อาจช่วยเหลือผู้โจมตีรายอื่น ๆ ในขณะที่ลูกค้าอาจยังคงตกอยู่ในความเสี่ยง" Dance เขียน ประกาศดังกล่าวกระตุ้นให้ลูกค้านำ Application Server ที่หันออกสู่อินเทอร์เน็ตออกจากอินเทอร์เน็ตสาธารณะก่อนที่จะมีแพตช์แก้ไข และแพตช์ก็ออกมาแบบเร่งรีบ: การเปิดตัวฉุกเฉินสามครั้งภายในห้าวัน โดยครั้งที่สองเผยแพร่ในเย็นวันเดียวกันหลังการทำงานร่วมกับนักวิจัยด้านความปลอดภัย Huntress และ watchTowr และครั้งที่สามเมื่อวันที่ 1 กันยายน 2026 หลังจากพบการถดถอย (regression) สองครั้ง

ประโยคที่อยู่ในบันทึกนี้กล่าวถึงสิ่งที่ผู้ให้บริการยังไม่พบเห็น ณ ขณะนั้น “แม้ในเวลานั้นเราจะยังไม่พบเห็นการใช้ประโยชน์แบบอัตโนมัติในวงกว้าง แต่เราก็กังวลว่ามันเป็นเพียงเรื่องของเวลา” เมื่อผู้ให้บริการเขียนข้อความนั้นเมื่อวันที่ 1 กันยายน 2026 เอเจนต์ของผู้ปฏิบัติการได้ใช้เวลาหนึ่งวันในการรันแคมเปญจากโฮสต์สำหรับดำเนินการตัวที่สองไปแล้ว ระบบอัตโนมัติที่เป็นตัวกำหนดเหตุการณ์นี้ได้ปรากฏในบันทึกสาธารณะ ไม่ใช่เพราะมีเหยื่อตรวจพบมัน แต่เพราะไดเรกทอรีที่ pertenece to ผู้ปฏิบัติการสามารถเข้าถึงได้จากอินเทอร์เน็ต และ Blackpoint พบมันเข้า

วันที่สอง และคุณค่าของตัวเลข

บันทึกเหตุการณ์ของ GreyNoise ระบุว่ามีการรีเฟรชรายการเป้าหมายด้วยผลลัพธ์จาก Netlas.io เมื่อเวลา 07:00 UTC ของวันที่สอง โดยใช้คีย์ API ที่ระบุได้ และแคมเปญหลักเริ่มเมื่อเวลา 08:30 จากโฮสต์ที่ใช้ดำเนินการแห่งที่สองผ่านเซสชัน SSH หลายร้อยเซสชัน บันทึกเหตุการณ์ของตนเองระบุว่า: การเข้าถึงโดยไม่ได้รับอนุญาตใน 11 องค์กรภายใน 26 วินาที, การเก็บเกี่ยวข้อมูลรับรองภายในหนึ่งนาที, 78 องค์กรภายในสิ้นชั่วโมงแรก และสิทธิ์ผู้ดูแลโดเมนที่ 8 ในองค์กรเหล่านั้นภายในชั่วโมงนั้น TechRepublic ซึ่งรายงานงานวิจัยเดียวกันเพิ่มเติมว่าเอนจินโจมตีรันได้สูงสุด 200 เธรดพร้อมกัน โดยมีลูปการลองใหม่แบบอัตโนมัติมากถึง 100 ลูป

ความยับยั้งชั่งใจที่เอเจนต์ได้รับคำสั่งให้ยึดถือนั้นไม่คงอยู่ SC Media รายงานการโจมตีเก้าครั้งในแอฟริกาใต้และห้าครั้งในบราซิล ซึ่งทั้งสองประเทศอยู่ในรายชื่อยกเว้น และรายงานของ GreyNoise เองก็ระบุว่ามีเหยื่อในรัสเซีย จีน คาซัคสถาน และปากีสถาน เมื่อเวลา 17:01 UTC ของวันที่สองนั้น บันทึกเหตุการณ์ระบุว่าไฟร์วอลล์แอปพลิเคชันเว็บของ Cloudflare ได้หยุดยั้งความพยายามดังกล่าว ซึ่งเป็นตัวอย่างที่ชัดเจนที่สุดเท่าที่บันทึกเหตุการณ์มีอยู่ของสิ่งที่ได้ผลจริงในการต่อกรกับมัน

ตัวเลขทั้งหมดเหล่านั้นเป็นของบริษัทเดียว GreyNoise ได้ข้อมูลเหล่านี้จากเทเลเมทรีของตัวเองและไดเรกทอรีที่กู้คืนมา และ PaperCut ยังไม่ได้ให้การรับรองตัวเลขเหล่านี้ ณ เวลาที่เขียนนี้ ผู้จำหน่ายระบุว่ายังคง "ทำงานร่วมกับลูกค้า นักวิจัยด้านความปลอดภัย และพันธมิตรเพื่อทำความเข้าใจขอบเขตผลกระทบทั้งหมด" ยังไม่มีองค์กรผู้เสียหายใดถูกระบุชื่อต่อสาธารณะ ผู้ก่อเหตุถูกบรรยายว่า "น่าจะเป็นผู้พูดภาษารัสเซีย" และไม่มีการระบุชื่อกลุ่ม IP ที่ GreyNoise เชื่อมโยงกับการปฏิบัติการนี้ คือ 45.142.193[.]132 ถูกใช้เพื่อกิจกรรมอันเป็นอันตรายตั้งแต่อย่างน้อยต้นเดือนกรกฎาคม 2026 ต่อผลิตภัณฑ์ที่เปิดสู่อินเทอร์เน็ตจาก Palo Alto, Ubiquiti, Citrix, SonicWall และ Proxmox VE ซึ่งสนับสนุนการตีความว่านี่เป็นการปฏิบัติการเข้าถึงที่มีอยู่แล้ว มิใช่การปฏิบัติการใหม่ ยังไม่มีรัฐบาลใดระบุว่าแคมเปญนี้เป็นฝีมือของตน

เป้าหมายสุดท้ายยังไม่เป็นที่แน่ชัด “ในขณะนี้ เราไม่สามารถยืนยันเป้าหมายสุดท้ายที่แน่ชัดของแคมเปญนี้ได้” Nevan Beal จาก Blackpoint กล่าว ในเส้นทางสู่การเป็นผู้ดูแลโดเมนทั้งสามเส้นทางของ GreyNoise มีการใช้ DCSync เพื่อดัมป์ฐานข้อมูล NTDS.DIT ข้อมูลรับรองจึงหลุดออกไปไม่ว่าจะมีการเรียกค่าไถ่ตามมาหรือไม่ ข้อสรุปของ Blackpoint เองเกี่ยวกับ AI นั้นแคบกว่าการรายงานส่วนใหญ่เกี่ยวกับเรื่องนี้: “ผลกระทบที่ทรงพลังที่สุดของ AI ในแคมเปญนี้ไม่ใช่เทคนิคการโจมตีแบบใหม่”

อะไรที่ได้รับการยืนยันแล้ว อะไรที่เป็นข้อมูลจากแหล่งเดียว และอะไรที่ยังไม่มีใครแสดงให้เห็น

• ยืนยันได้จากบันทึกที่ไม่ต้องพึ่งพาบริษัทวิจัยใดบริษัทหนึ่งจากสองแห่งนี้: CVE-2026-81578 และ CVE-2026-82078 มีอยู่ เป็นของ PaperCut และได้รับการให้คะแนนโดย NVD; PaperCut ยืนยันการถูกใช้ประโยชน์จริงกับผลิตภัณฑ์ของตนในประกาศของบริษัทและในถ้อยแถลงของประธานเจ้าหน้าที่บริหาร; CISA ขึ้นทะเบียน CVE ทั้งสองว่าถูกใช้ประโยชน์แล้ว โดยมีกำหนดเส้นตายวันที่ 14 กันยายน 2026; ได้มีการเผยแพร่แพตช์และรีลีสบำรุงรักษาฉบับทดแทนแล้ว

• ฝ่ายเหยื่อยืนยันว่า:มีรายงานเหตุการณ์ของลูกค้าอย่างน้อยสองกรณีไปยัง PaperCut โดยห่างกันภายในหนึ่งวัน กรณีแรกมาจากลูกค้าในภาคการศึกษา และหนึ่งในนั้นแสดงให้เห็นการรันโค้ดจริงบนเซิร์ฟเวอร์ โดยมีบันทึกที่เก็บรักษาไว้โดยทีมตอบสนองเหตุการณ์ของลูกค้าเอง

• มาจากแหล่งเดียว และมีหลักฐานหนักแน่น:ตัวเลขทุกตัวบนการ์ดด้านบน; การสแกนเป้าหมาย 462 รายการและที่อยู่ 1,005 รายการ; การทำงานสี่ชั่วโมงจากพื้นที่ทำงานว่างเปล่าจนถึงการรันโค้ดจากระยะไกลครั้งแรก; และ 26 วินาทีนั้น ข้อมูลเหล่านี้มาจากเทเลเมตรีของ GreyNoise และไดเรกทอรีที่ Blackpoint กู้คืนได้อย่างอิสระยืนยันรูปแบบของขั้นตอนการทำงาน โดยไม่จำลองจำนวนเหล่านั้น

• การอนุมานที่ระบุว่าเป็นเพียงการอนุมาน:ว่าเอเจนต์เป็นผู้ทำงานส่วนใหญ่ GreyNoise บอกกับ SC Media ว่า "งานส่วนใหญ่ล้วนเป็นแบบอัตโนมัติ โดยมีมนุษย์เข้ามาขัดจังหวะเพียงไม่กี่ครั้งตามที่รับรู้ได้" ซึ่งเป็นการตัดสินใจเกี่ยวกับเวิร์กโฟลว์ที่สังเกตการณ์ได้บางส่วนผ่านบันทึกของมันเอง ไม่ใช่การวัดผล ไฟล์สถานะที่กู้คืนมาได้แสดงให้เห็นว่ามีบุคคลเข้ามาขัดจังหวะ ให้สิทธิ์อนุญาต และร้องขอเนื้อหา

• ไม่มีการยืนยันจากที่ใดที่บทความนี้ค้นพบได้ว่า: การบุกรุกของลูกค้าก่อนประกาศและพื้นที่ทำงานของผู้ปฏิบัติการเป็นผู้ก่อเหตุรายเดียวกันหรือไม่; วัตถุประสงค์ของการเข้าถึง; จำนวนเหยื่อจริงนอกเหนือจาก 395 องค์กรที่ระบุชื่อ ซึ่ง GreyNoise เองระบุว่าไม่สมบูรณ์ เนื่องจากเหยื่อบางรายไม่สามารถถูกเชื่อมโยงกับองค์กรที่ระบุชื่อได้

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

การตอบสนองของ PaperCut เป็นส่วนที่ได้รับการบันทึกไว้อย่างครบถ้วนที่สุดในหลักฐานนี้ เพราะผู้จำหน่ายได้เผยแพร่ประวัติแพตช์ของตนเอง ประกาศดังกล่าวออกเมื่อวันที่ 27 สิงหาคม 2026 แพตช์ฉุกเฉินชุดแรกตามมาภายในไม่กี่ชั่วโมงสำหรับเวอร์ชัน 25 และ 26 Release 2 มาถึงในเย็นวันเดียวกันพร้อมการเสริมความแข็งแกร่งเพิ่มเติมที่พัฒนาร่วมกับ Huntress และ watchTowr และขยายไปยังเวอร์ชัน 24 Release 3 เปิดตัวเมื่อวันที่ 1 กันยายน 2026 โดยรวบรวมการแก้ไขก่อนหน้าไว้ด้วยกัน และปิดช่องทางการโจมตีเพิ่มเติม "ซึ่งเราสังเกตพบว่าถูกใช้ประโยชน์ในการโจมตีจริง" เมื่อวันที่ 10 กันยายน 2026 บิลด์ฉุกเฉินถูกแทนที่ด้วยรีลีสบำรุงรักษาที่ผ่านการทดสอบอย่างเต็มที่ ได้แก่ PaperCut NG/MF 26.0.5, 25.0.13 และ 24.1.10 เวอร์ชัน 23 และก่อนหน้าไม่ได้รับแพตช์ใด ๆ เลย และต้องย้ายไปยังสายผลิตภัณฑ์ที่ได้รับการสนับสนุน

มาตรการบรรเทาความเสี่ยงที่ผู้ขายผลักดันหนักที่สุดไม่ใช่แพตช์: จำกัดการเข้าถึงเว็บของ Application Server ให้เฉพาะที่อยู่ที่เชื่อถือได้เท่านั้น โดยใช้กฎไฟร์วอลล์หรือการควบคุมการเข้าถึงเครือข่าย "แม้ว่าคุณจะยังไม่พบกิจกรรมที่น่าสงสัยก็ตาม" สำหรับการตรวจจับ ผู้ขายได้เผยแพร่ตัวบ่งชี้ที่เฉพาะเจาะจงพอที่จะใช้ล่าได้ — การแจ้งเตือนที่เกี่ยวข้องกับกิจกรรมหลังการโจมตี (post-exploitation) จาก pc-app.exe ไฟล์ server.log ที่หายไปหรือถูกตัดทอน และสตริงบันทึกสองรายการ คือ "ERROR No suitable driver found for jdbc:no:x" และ "ERROR DatabaseUtils - Database error looking up cardID: VALUES CAST" คำแนะนำของ Blackpoint เพิ่มขอบเขตการตรวจสอบนอกเหนือจากโฮสต์ PaperCut: ตรวจสอบการสร้างบัญชีที่มีสิทธิ์สูง การเข้าถึงข้อมูลรับรอง การค้นพบ Active Directory และการเคลื่อนที่ภายใน (internal pivoting)

คุณค่าของมาตรการเหล่านั้นปรากฏอยู่ในบันทึกบางส่วน บิลด์ที่แพตช์แล้วพร้อมไฟร์วอลล์เว็บแอปพลิเคชันสามารถหยุดยั้งฝูงโจมตีได้ในจุดที่มีทั้งสองอย่าง ซึ่งเป็นเหตุให้ข้อสรุปของ GreyNoise เองระบุว่า “การเสริมความแข็งแกร่งแบบดั้งเดิมมีผลเชิงบวกจริง” ประเด็นที่หนักกว่าคือสิ่งที่ไทม์ไลน์ชี้ให้เห็น: แพตช์มีอยู่ก่อนที่เหล่าเอเจนต์จะเริ่มทำงาน และแคมเปญก็โจมตีเซิร์ฟเวอร์ที่ยังไม่ได้ติดตั้งแพตช์ภายในไม่กี่วันหลังการเผยแพร่

สิ่งที่ตอนเริ่มต้นยังไม่อธิบาย

บันทึกเหตุการณ์นี้บอกเล่าจุดเริ่มต้นของแคมเปญได้ดีกว่าการบุกรุกที่เทียบเคียงได้เกือบทั้งหมด — ไฟล์การทำงานของผู้ปฏิบัติการเองซึ่งประทับเวลาละเอียดถึงระดับวินาที ยังคงปรากฏอยู่ในรายงานสาธารณะ — แต่ก็ยังระบุไม่ได้ว่าแคมเปญนี้มีจุดประสงค์เพื่ออะไร ยังไม่มีการยืนยันหมายเรียกค่าไถ่ การเรียกค่าไถ่จากการขโมยข้อมูล หรือการส่งต่อให้กลุ่มอื่น การเข้าถึงเหล่านั้นสอดคล้องกับกิจกรรมการเข้าถึงในระยะเริ่มต้น ซึ่งเป็นการจำแนกของ Blackpoint มิใช่ข้อค้นพบ PaperCut สัญญาว่าจะจัดทำการสร้างภาพเหตุการณ์ทางเทคนิคฉบับสมบูรณ์ขึ้นใหม่ และยังไม่ได้เผยแพร่ ณ วันที่ 29 ตุลาคม 2026

สิ่งที่เกรดความเชื่อมั่นระดับ A ของคลังข้อมูลนี้ตั้งอยู่บนนั้นแคบกว่าและหนักแน่นกว่าตัวเลขพาดหัว: ช่องโหว่จริงสองรายการ ผู้ขายที่ยืนยันว่าผลิตภัณฑ์ของตนถูกใช้ประโยชน์จริง หน่วยงานกำกับดูแลที่ระบุว่าทั้งสองบั๊กถูกใช้ประโยชน์แล้ว และประวัติการแพตช์ที่ใครก็อ่านได้ ส่วนที่ทำให้รายการนี้กลายเป็นหมุดหมายคือฝูง หลักฐานของฝูงคือไดเรกทอรีที่ผู้ดำเนินการปล่อยให้เข้าถึงได้ และข้อมูลเทเลเมตรีของบริษัทหนึ่ง ซึ่งควรพูดให้ชัดเจน เพราะความแตกต่างระหว่างข้อกล่าวอ้างสองประเภทนั้นคือความแตกต่างระหว่างสิ่งที่ผู้ป้องกันสามารถลงมือทำได้กับสิ่งที่ผู้ป้องกันต้องรับไว้โดยอาศัยความเชื่อใจ