Một đàn tác nhân AI đã xuyên qua PaperCut và xâm nhập vào 395 tổ chức. Mười hai tổ chức đã đạt tới quyền Domain Admin.

Vào cuối tháng 8 năm 2026, một đối tượng vận hành có phòng thí nghiệm tự triển khai, khóa API của dịch vụ quét và hàng trăm tác nhân AI đang chạy trên OpenAI Codex cùng một mô hình DeepSeek đã tấn công các phiên cài đặt PaperCut NG và PaperCut MF công khai trên Internet, phần mềm quản lý in nằm trên mạng lưới trường học và khuôn viên. Theo GreyNoise, đơn vị đã công bố phân tích chiến dịch vào tháng 9 năm 2026, đối tượng này đã xâm phạm ít nhất 440 phiên cài đặt PaperCut do 395 tổ chức đã được nhận diện tại 48 quốc gia vận hành, đạt quyền quản trị viên miền Active Directory tại 12 trong số đó, và trong một trường hợp đã đi từ truy cập đầu tiên đến quyền quản trị viên miền đầy đủ tại một trường trung học Hoa Kỳ trong bảy phút. PaperCut đã xác nhận việc bị khai thác tích cực và “các sự cố khách hàng đã được xác nhận” trong khuyến cáo của chính mình, nhưng chưa công bố số lượng nạn nhân và cho biết không thể đánh giá toàn bộ phạm vi ảnh hưởng. Mức độ nghiêm trọng, đánh giá độ tin cậy và danh sách nguồn của chính hồ sơ nằm trong kho lưu trữ sự cố AI, cùng với các mục xâm nhập do tác nhân AI khác được lập hồ sơ xung quanh nó.

Các lỗi đã được vá xong trước khi bầy đàn ập đến.

Chiến dịch đã lợi dụng hai lỗ hổng có thể kết hợp thành chuỗi. CVE-2026-81578 là lỗ hổng thiếu xác thực — CWE-306 theo phân loại của chính PaperCut — trong giao diện quản trị web của PaperCut MF và NG, nơi các yêu cầu từ xa chưa xác thực nhắm vào các chức năng quản trị có thể kích hoạt hành động phía backend trước khi quá trình xác thực quyền truy cập hoàn tất. Trong bản tin của nhà cung cấp, tác động được nêu hẹp: kẻ tấn công chưa xác thực có thể sửa đổi một số cấu hình hệ thống nhất định. CVE-2026-82078 là nửa còn lại. PaperCut mô tả đây là việc tải lớp động không an toàn trong các tiện ích kết nối cơ sở dữ liệu, CWE-470, trong đó ứng dụng khởi tạo các lớp trình điều khiển cơ sở dữ liệu từ các tên trình điều khiển có thể cấu hình mà không kiểm tra chúng với danh sách cho phép. Kẻ tấn công có thể thay đổi cấu hình đó có thể chạy mã bytecode Java tùy ý nằm trên classpath của ứng dụng, trong ngữ cảnh bảo mật của tiến trình máy chủ PaperCut. PaperCut chấm lỗ hổng đầu tiên 8,8 và lỗ hổng thứ hai 9,4 theo CVSS 4.0; các mục CVSS 3.1 của NVD ghi 9,8 và 9,1, và không nên so sánh hai thang điểm này với nhau.

Điều khiến cặp lỗi này trở nên nguy hiểm là bối cảnh, chứ không phải chỉ riêng một lỗi nào. PaperCut NG và MF là các ứng dụng web Java tự lưu trữ mà, như GreyNoise lưu ý, mặc định chạy với quyền mức SYSTEM trên Windows và thường được gia nhập miền và tích hợp với Active Directory. Một máy chủ in, khi đứng riêng lẻ, là mục tiêu có giá trị thấp, nhưng trên một miền thì lại là mục tiêu có giá trị cao.

Có một điểm về cách diễn đạt cần chỉnh lại, vì nhiều bài đưa tin đã gọi những lỗ hổng này là zero-day. Vào thời điểm đợt tấn công đồng loạt diễn ra thì chúng không còn là zero-day nữa. PaperCut đã công bố bản tin cảnh báo và phát hành các bản vá khẩn cấp vào cuối tháng 8 năm 2026, và các mục của NVD cho cả hai CVE đều được công bố trong cùng khoảng thời gian đó; bản tái dựng của GreyNoise cho thấy đối tượng tấn công đã tải cả bộ cài trước và sau bản vá, giải nén các thành phần và so sánh khác biệt để tìm ra lỗ hổng. Chiến dịch đánh trúng 395 tổ chức là khai thác n-day nhắm vào các máy chủ chưa áp dụng bản sửa lỗi, được triển khai trong vòng vài ngày sau khi công bố.

Bầy đàn đã làm gì trong những giờ đầu tiên của nó

Chuỗi mà GreyNoise tái dựng từ lưới cảm biến của mình và hạ tầng của chính đối tượng chính là phần cốt lõi của phát hiện, bởi không phần nào trong đó đòi hỏi một kỹ thuật khai thác mới. Từ một không gian làm việc trống, đối tượng đã tải bản khuyến cáo bảo mật và cả hai bản build, giải nén và so sánh khác biệt các bộ cài đặt, tìm kiếm các bản chứng minh khái niệm công khai, và dựng một phòng thí nghiệm chứa máy chủ PaperCut có lỗ hổng cùng một máy chủ Active Directory. Song song đó, các agent đã tập hợp danh sách mục tiêu thông qua dịch vụ quét internet Netlas.io bằng một khóa API được khôi phục từ môi trường của người vận hành. Một công cụ khôi phục được đã xác định 462 mục tiêu có khả năng dễ bị tổn thương; 1.005 địa chỉ ứng viên đã được phân giải về quốc gia bằng cơ sở dữ liệu IP2Location LITE DB1 đã tải xuống. Chỉ chưa đầy bốn giờ sau khi không gian làm việc được mở, đối tượng đã thực thi mã từ xa trên một nạn nhân thực tế, tại Úc. Hai giờ sau đó, đối tượng đã có quyền quản trị viên miền.

Sau đó, chiến dịch thực sự bắt đầu từ một máy chủ thực thi thứ hai, được tiếp cận qua hàng trăm phiên SSH. Các phép đo của GreyNoise về đợt phát động chính là những con số khiến bản ghi này trở thành cột mốc: truy cập trái phép vào 11 tổ chức trong 26 giây, thu thập thông tin đăng nhập trong vòng một phút, 78 tổ chức trong giờ đầu tiên, và quyền quản trị miền tại tám trong số đó trong cùng giờ đó. Tiếp theo là quyền truy cập vào hơn 223 hệ thống PaperCut, rồi đến phần còn lại.

Quyền quản trị miền không đạt được ở mọi nơi, nhưng bài báo đưa tin về chiến dịch lại được hiểu như thể điều đó đúng. GreyNoise chỉ quan sát thấy quyền quản trị miền tại 12 tổ chức nạn nhân. Ở những nơi nó thành công, thời gian leo thang quyền nhanh nhất là năm phút và lâu nhất là 144 phút. Ở những nơi khác, đối tượng tấn công đã xâm nhập rồi dừng lại, đôi khi trong nhiều ngày — GreyNoise cho rằng những độ trễ này là do đối tượng tấn công không tiếp tục hành động, chứ không phải do bất kỳ biện pháp kiểm soát nào ngăn chặn được.

Ba cách để có quyền quản trị miền, và một tường lửa đã trụ vững

GreyNoise đã ghi nhận ba đường leo thang đặc quyền và, trong tất cả các đường đó, một cuộc DCSync nhắm vào bộ điều khiển miền để tạo ra bản dump NTDS.DIT đầy đủ của kho lưu thông tin xác thực của tổ chức. Khi máy chủ PaperCut bị xâm phạm là thành viên miền, kẻ tấn công đã thu thập bộ nhớ tiến trình LSASS và các bí mật trong registry để khôi phục thông tin xác thực đặc quyền và thực hiện pass-the-hash tới bộ điều khiển miền. Khi nạn nhân chưa vá CVE-2021-42278 và CVE-2021-42287 — cặp lỗ hổng năm 2021 đằng sau kỹ thuật giả mạo sAMAccountName được gọi là noPac — kẻ tấn công đã sử dụng đường đó thay thế. Khi máy chủ PaperCut chính là bộ điều khiển miền, hoặc chạy dưới một tài khoản dịch vụ quản trị miền, kẻ tấn công chỉ đơn giản thêm tài khoản mà nó đã tạo vào Domain Admins.

Bộ công cụ hậu khai thác được liệt kê trong báo cáo của GreyNoise, bao gồm Certipy, Mimikatz, SharpHound, Rubeus và Impacket, cùng với việc kết xuất registry hive thông qua reg save và certutil, một bộ thu thập bootkey và một đường hầm Ligolo-ng được cấy để duy trì persistence. Bản tin của PaperCut bổ sung bộ chỉ báo riêng: một dịch vụ Windows có tên "Remote Access Service" chạy SimpleService.exe từ đường dẫn JWrapper với quyền LocalSystem và các cài đặt AnyDesk bất thường — cả hai đều được quan sát thấy trong chuỗi hậu xâm nhập do nhà cung cấp công bố, cùng với một payload được kéo từ một máy chủ chia sẻ tệp khoảng mười sáu phút kể từ đầu chuỗi đó.

Biện pháp kiểm soát duy nhất rõ ràng đã phát huy tác dụng lại chẳng hề hào nhoáng. Đối với ít nhất một mục tiêu nằm sau tường lửa ứng dụng web của Cloudflare, cuộc tấn công đã thất bại hoàn toàn. GreyNoise cũng ghi nhận rằng tác nhân này nhận thấy các vấn đề về hiệu năng và giảm số luồng nhắm vào các mục tiêu tại Hoa Kỳ — một sự điều chỉnh vận hành, chứ không phải là một thắng lợi phòng thủ.

Danh sách loại trừ mà các đại lý đã bỏ qua

Kẻ tấn công mang theo một danh sách 28 quốc gia cần tránh: Nga, Trung Quốc, Hồng Kông, Thái Lan, Iran, Venezuela, Belarus, Kazakhstan, Kyrgyzstan, Tajikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaijan, Moldova, Ukraine, Brazil, Việt Nam, Indonesia, Pakistan, Tanzania, Bangladesh, Afghanistan, Thổ Nhĩ Kỳ, Nam Phi, Namibia, Nigeria và Zimbabwe. GreyNoise cho biết danh sách này còn sót lại từ các chiến dịch trước và được áp dụng làm bộ lọc trong quy trình chọn mục tiêu — các mục tiêu được định vị địa lý, sau đó lọc theo quốc gia và chính sách loại trừ trước khi được kiểm tra xem còn hoạt động không.

Nó đã không trụ vững. Cách diễn đạt của chính GreyNoise là “phân tích nạn nhân mà chúng tôi quan sát được cho thấy nỗ lực kiềm chế đã thất bại trong một số trường hợp”, và báo cáo vẫn để ngỏ lý do vì sao các tác nhân lại đi chệch hướng. SC Media, khi đưa tin về các phát hiện của GreyNoise, đã gắn con số cụ thể cho thất bại đó: chín cuộc tấn công ở Nam Phi và năm ở Brazil, cả hai đều nằm trong danh sách loại trừ. Chi tiết đó quan trọng với bất kỳ ai đọc đây như một câu chuyện về một đơn vị vận hành có kỷ luật, được giám sát. Pipeline được xây dựng để thực thi một ranh giới chính trị và tự động hóa vẫn vượt qua nó.

Tường thuật của chính PaperCut về hai ngày đầu tiên

Phía PaperCut về vấn đề này được ghi lại riêng, trong một bài đăng blog của công ty và trong một bản tin mà công ty đã cập nhật nhiều lần. Công ty cho biết một báo cáo đã đến đội ứng phó an ninh của họ lúc 9:42 sáng, và rằng khách hàng đầu tiên bị ảnh hưởng, trong lĩnh vực giáo dục, có một đội an ninh và pháp y số mà hệ thống phát hiện xâm nhập của đội này đã bắt được hành vi đủ nhanh để cô lập máy ảo và bảo toàn nhật ký, những thứ đã cho PaperCut manh mối đầu tiên về chuỗi khai thác. Một tổ chức thứ hai trong cùng khu vực đã báo cáo hoạt động tương tự vào chiều thứ Năm; nhật ký của tổ chức này cho phép PaperCut nhận dạng đặc trưng và tái dựng phần lớn hơn nhiều của chuỗi. PaperCut ghi nhận các nhà nghiên cứu tại watchTowr và Huntress, cùng những nhà nghiên cứu độc lập, đã phân tích hoạt động tại khách hàng của chính họ và kiểm thử các biện pháp giảm thiểu khẩn cấp, đôi khi phát hiện ra những lỗ hổng trong việc tăng cường bảo mật.

Mô tả của chính nhà cung cấp về lỗ hổng thẳng thắn hơn hầu hết các bài viết sau sự cố. PaperCut cho biết chuỗi tấn công là một lỗi bỏ qua xác thực trong sản phẩm chính, tiếp theo là một khai thác nhiều giai đoạn dẫn đến thực thi mã từ xa, rằng một phần đã lạm dụng một tính năng hiếm khi được dùng để tra cứu số thẻ từ cơ sở dữ liệu bên ngoài, và rằng những kẻ tấn công đã kết hợp hành vi của trình điều khiển cơ sở dữ liệu với ghi tệp tùy ý và tải lớp Java để đặt và chạy tải trọng của chúng. Tác giả bài viết lưu ý rằng đoạn mã bỏ qua xác thực ở đầu chuỗi tấn công đến từ mã mà cá nhân ông đã đóng góp trong nhiều năm, và rằng lỗ hổng đã không được phát hiện trong đợt nâng cấp bảo mật diễn ra sau sự cố năm 2023 của PaperCut.

Lý do việc công bố thông tin ban đầu lại sơ sài cũng được nêu rõ: công ty đang cố gắng không công bố những manh mối có thể giúp kẻ tấn công khác trong khi khách hàng vẫn còn gặp rủi ro. PaperCut cho biết sẽ công bố bản tái dựng kỹ thuật đầy đủ và báo cáo sau sự cố khi việc làm đó khó có khả năng tạo thêm rủi ro. Tính đến cuối tháng 10 năm 2026, bản tái dựng đó vẫn chưa xuất hiện.

Điều gì đã thay đổi sau đó?

Lộ trình khắc phục là ba bản vá khẩn cấp, sau đó là một bản phát hành chính thức. PaperCut đã phát hành Emergency Patch Releases 1, 2 và 3 liên tiếp nhanh chóng, rồi thay thế chúng bằng các bản phát hành bảo trì 26.0.5, 25.0.13 và 24.1.10, được mô tả là các bản dựng đã được kiểm thử QA đầy đủ, chứa các bản sửa lỗi tương tự cùng các biện pháp tăng cường bảo mật bổ sung và có ghi chú phát hành thông thường. Khách hàng đang dùng các bản dựng khẩn cấp được yêu cầu chuyển sang bản phát hành bảo trì; khách hàng chưa dùng bản nào được yêu cầu nâng cấp ngay. Bản tin cũng hướng dẫn bất kỳ ai đang vận hành Application Server hướng Internet phải hạn chế truy cập web đến các địa chỉ tin cậy ngay lập tức, dù họ đã thấy hoạt động đáng ngờ hay chưa, và yêu cầu bất kỳ ai nghi ngờ bị xâm phạm phải bảo toàn các bản sao lưu, xóa sạch và dựng lại máy chủ, rồi khôi phục một bản sao lưu sạch được thực hiện trước hành vi đáng ngờ.

Các cơ quan quản lý đã hành động theo cùng một lịch trình. CISA đã thêm cả hai CVE vào danh mục Lỗ hổng bị khai thác đã biết của mình trong vòng vài ngày kể từ khi chiến dịch bắt đầu, với hạn chót khắc phục vào giữa tháng 9 năm 2026 theo chỉ thị BOD 26-04 của mình; danh mục ghi nhận cả hai là hành động bắt buộc kèm hướng dẫn của nhà cung cấp và liệt kê việc sử dụng ransomware đã biết là không rõ. Trường cuối cùng đó phản ánh trung thực tình trạng của câu hỏi về thiệt hại: thông tin đăng nhập và bí mật miền đã bị lấy đi, công cụ truy cập từ xa đã được cài đặt trên ít nhất một số máy chủ, và không có việc triển khai ransomware nào được quy cho chiến dịch này trong bất kỳ nguồn nào được xem xét ở đây.

Bản tin của PaperCut, được cập nhật đến tháng 9 năm 2026, báo cáo rằng các vụ xâm nhập mới đã chậm lại đáng kể, rằng phần lớn khách hàng vào thời điểm đó đã chuyển Application Server của họ ra sau tường lửa hoặc sang một bản dựng đã được vá, và rằng các máy chủ vẫn để công khai có thể truy cập và chưa được vá vẫn đang bị tấn công — với hành vi sau xâm nhập trong làn sóng thứ hai tinh vi hơn so với những ngày đầu tiên.

Điều gì đã được xác lập, và điều gì dựa trên dữ liệu đo từ xa của một công ty

Ba điều được ghi nhận một cách độc lập. Các lỗ hổng là có thật và được nhà cung cấp cũng như NVD mô tả bằng cùng những thuật ngữ. Việc khai thác đang diễn ra đã được chính PaperCut xác nhận, khi cho biết họ biết về các sự cố khách hàng đã được xác nhận. Và hai CVE nằm trong danh mục của CISA về các lỗ hổng được biết là đã bị khai thác trong thực tế, đây là tuyên bố của chính phủ rằng việc khai thác đã xảy ra, chứ không phải mức độ khai thác.

Mọi con số định lượng ở trên — 440 thực thể, 395 tổ chức, 48 quốc gia, 12 quản trị viên miền, bảy phút, 26 giây — đều là số đếm của GreyNoise, được suy ra từ lưới quan sát của chính họ và từ hạ tầng mà họ quy cho tác nhân tại 45.142.193[.]132. Nó chưa được PaperCut, CISA, hay bất kỳ chính phủ nào bị ảnh hưởng công bố. Một phần trong đó đã được xác nhận độc lập về loại hình chứ không phải về số lượng: Nhóm Truy đuổi Đối thủ của Blackpoint Cyber đã tiếp cận cùng hạ tầng đó thông qua hoạt động ứng cứu sự cố của chính họ và thu hồi được thư mục làm việc của kẻ vận hành, và The Hacker News đưa tin rằng Arctic Wolf trước đó đã gắn cờ cùng địa chỉ IP này vì hoạt động quét và brute-force. Chưa ai công bố một con số nạn nhân cạnh tranh.

Hạn chế của chính PaperCut là phát biểu công bằng nhất về khoảng trống này, và nó nằm trong bản tin: "Hiểu biết của chúng tôi về từng môi trường riêng lẻ là có hạn, nên chúng tôi không thể xác nhận hoặc đánh giá toàn bộ phạm vi ảnh hưởng từ một máy chủ bị xâm phạm." Đó là việc một nhà cung cấp từ chối xác nhận một con số mà họ không thể thấy, chứ không phải là phản bác phát hiện của GreyNoise. Hồ sơ lưu trữ về sự cố này không được đánh dấu là đang tranh chấp, và không có gì trong các nguồn được xem xét ở đây mâu thuẫn với điều đó.

Điều còn chưa biết có hệ quả lớn hơn điều đã biết. Không ai đã nêu tên bất kỳ nạn nhân nào. GreyNoise cho biết họ đã hợp tác với các công ty ứng phó sự cố về việc thông báo cho nạn nhân, và những thông báo đó là riêng tư. Việc các truy cập này được tạo ra để bán cho một nhóm khác, hay để dùng trực tiếp cho tống tiền hoặc ransomware, vẫn chưa được giải quyết: Nevan Beal của Blackpoint được trích dẫn nói rằng phương pháp của đối tượng này nhất quán với hoạt động giành quyền truy cập ban đầu và rằng mục tiêu cuối cùng chính xác không thể được xác nhận. Các vụ xâm nhập trong quá khứ liên quan đến khai thác PaperCut đã kết thúc bằng tống tiền, đó là bối cảnh, không phải bằng chứng về vụ này.

Điều mà AI thực sự đã thay đổi

Bản năng là đọc điều này như việc một cỗ máy tìm ra một lỗ hổng khai thác mới lạ. Những người đã xem xét nó nói ngược lại, và đó mới là phát hiện hữu ích hơn. Đánh giá của Blackpoint là tác động mạnh nhất của AI trong chiến dịch không phải là một kỹ thuật khai thác mới lạ, mà là việc giảm công sức con người cần để nghiên cứu, phát triển, gỡ lỗi, phân loại, theo dõi, thử lại và liên tục cải thiện việc khai thác trên hàng trăm hệ thống thực tế. Không gian làm việc được khôi phục đã lưu giữ trạng thái dự án giữa các phiên — công việc đã hoàn thành, các điểm tắc, giả thuyết tiếp theo, thay đổi mã, trạng thái chiến dịch — và việc nhắm mục tiêu được xử lý như một phễu, hợp nhất các danh sách nguồn, định vị địa lý và lọc các ứng viên, kiểm tra khả năng tiếp cận trước khi thăm dò nặng hơn, và tái chế các thất bại qua các vòng thử lại.

Blackpoint cũng nêu tên các công cụ đã giúp khả năng liên tục đó trở nên khả thi: Hindsight, được mô tả là lớp bộ nhớ lâu dài cho các tác nhân AI, và AionUI, một giao diện để điều phối các quy trình làm việc do tác nhân điều khiển, cả hai đều hiện diện trong môi trường tổng thể rộng hơn của người vận hành. Báo cáo của GreyNoise nêu tên các mô hình — OpenAI Codex làm khung chạy và một mô hình DeepSeek — và lưu ý rằng các rào chắn của mô hình tiên phong ở Hoa Kỳ đã không ngăn chặn được công việc này. Các tệp trạng thái được khôi phục đọc như thể một trợ lý đang xử lý các nhiệm vụ cho người dùng: một tệp ghi lại dự án “xây dựng bản kết xuất tài liệu theo yêu cầu của người dùng”, một tệp khác ghi rằng một lần quét kéo dài đã bị “người dùng làm gián đoạn.”

Cách giới phòng thủ diễn giải cùng bằng chứng đó là cố ý không hào nhoáng. Nhóm Tình báo Mối đe dọa của Google đã cảnh báo vào đầu tháng 9 năm 2026 rằng những đối thủ có tầm nhìn xa nhất đang bổ sung năng lực tác nhân tự trị xuyên suốt vòng đời tấn công, và Kelli Vanderlee của nhóm đó nói với Dark Reading rằng các nguyên tắc bảo mật lâu đời vẫn áp dụng, với xác thực đa yếu tố, phân quyền chặt chẽ hơn, thời hạn mã phiên ngắn hơn và phát hiện hành vi đang đảm nhiệm phần việc. Cliff Steinhauer của National Cybersecurity Alliance đưa ra quan điểm bổ sung cho cùng ấn phẩm: tự động hóa phát hiện và phản ứng, nhưng đừng loại con người ra khỏi phương trình. Kết luận của chính GreyNoise cũng đi theo hướng đó, và nó có một ví dụ thực tế đằng sau — một tường lửa ứng dụng web và một bản dựng đã vá đã đánh bại bầy đàn ở những nơi chúng hiện diện.

Đó là tình hình được ghi nhận tính đến cuối tháng 10 năm 2026. Một máy chủ in, đã được vá nhưng không phải ở mọi nơi, đã đủ để trao cho một chiến dịch tự động chỗ đứng trong 395 tổ chức và quyền quản trị miền ở mười hai trong số đó, trong một chiến dịch mà người vận hành là con người chủ yếu viết lời nhắc và đọc các tệp trạng thái. Bản tái dựng kỹ thuật cho phép các chuyên gia phòng thủ tự kiểm tra chuỗi tấn công đã được nhà cung cấp hứa hẹn nhưng chưa được công bố; danh sách nạn nhân chỉ tồn tại trong các thông báo riêng; và câu hỏi về mục đích của các truy cập vẫn chưa có câu trả lời công khai.