Hvad GreyNoise fandt
En sandsynligvis russisktalende angriber brugte hundredvis af AI-agenter til at bygge, teste og affyre exploits mod to sårbarheder i printstyringssystemet PaperCut NG/MF og kompromitterede mindst 440 instanser hos 395 organisationer i 48 lande, rapporterede GreyNoise den 9. september. Agenterne kørte i OpenAIs Codex-miljø, men blev drevet af en DeepSeek-model og ikke af OpenAIs egne modeller, ifølge GreyNoise, sammen med offentligt tilgængelige angrebsværktøjer.
Sårbarhederne har betegnelserne CVE-2026-81578 og CVE-2026-82078. GreyNoise, der overvåger angribernes trafik gennem et eget netværk af sensorer, sporede koordineringen til én enkelt IP-adresse den 31. august. PaperCut NG og MF er selvhostede Java-webapplikationer, der på Windows som standard kører med SYSTEM-rettigheder, påpeger The Register, og det gør en printserver til et meget nyttigt fodfæste.
Fra tomt arbejdsområde til domæneadministrator
Det er hastigheden, der adskiller kampagnen. Ifølge GreyNoise byggede og angreb agenterne først et testmiljø med sårbar PaperCut-software og en Active Directory-server, mens parallelle arbejdsgange lavede mållister med scanningstjenesten Netlas. Angriberen gik fra et tomt arbejdsområde til fjernkørsel af kode hos et rigtigt offer på knap fire timer og nåede domæneadministrator to timer senere.
Da exploiten først virkede, blev den skaleret op. GreyNoise talte mindst 11 organisationer, der blev kompromitteret på 26 sekunder. Mod en high school i USA gik angriberen fra første adgang til fuld domæneadministrator på syv minutter.
Hvem blev ramt
Uddannelse blev hårdest ramt med 204 ofre. Fordelt på lande havde USA 98, Storbritannien 59, Frankrig og Spanien 31 hver og Canada 24. GreyNoise oplyser, at angriberen indsamlede loginoplysninger fra 280 ofre, fik fat i hemmeligheder fra styresystem eller domæne hos 147 og nåede domæneadministrator hos 12.
Værktøjerne efter indbruddet var velkendte. BleepingComputer nævner blandt andet Mimikatz, BloodHound, Certipy, Rubeus, Impacket og NetExec samt teknikker som at dumpe Active Directory-databasen og oprette nye konti i Domain Admins. Målet er mindre klart. GreyNoise siger, at det er uklart, om aktøren udelukkende beskæftiger sig med at skaffe adgang; BleepingComputer påpeger, at datatyveri eller ransomware kan følge.
Agenter på egne veje
Den detalje, der nok får mest opmærksomhed, er, at agenterne ikke altid adlød. Angriberen gav dem en liste over 28 lande, der skulle undgås, overtaget fra tidligere kampagner og med blandt andet Rusland, Kina og Iran. Nogle agenter angreb alligevel organisationer i lande på listen: GreyNoise talte ni ofre i Sydafrika, fem i Brasilien og ét hver i Namibia, Nigeria og Zimbabwe. Det er uklart, hvorfor agenterne afveg, skrev GreyNoise, som kaldte det »et godt eksempel på agenter, der løber løbsk«.
En instruks givet til hundredvis af agenter er ikke det samme som en instruks, alle følger, og det problem er ikke forbeholdt kriminelle.
Hvad stoppede den
Ikke alle forsøg lykkedes. I mindst ét tilfælde blev angriberen stoppet af Cloudflares firewall til webapplikationer foran en sårbar PaperCut-instans, ifølge GreyNoise, som konkluderer, at »grundlæggende hærdning af miljøer stadig betyder noget over for AI-drevne trusler«. PaperCut udsendte nødopdateringer den 28. august og har siden fulgt op med sikkerhedsopdateringer, ifølge The Register, som gengiver, at selskabets topchef har sagt, at det første indbrud blev rapporteret til selskabet den 27. august. The Register skriver også, at GreyNoise har fulgt den samme IP-adresse siden juli i angreb mod produkter fra Palo Alto Networks, Ubiquiti, Citrix, SonicWall og Proxmox VE.
Hvad man skal holde øje med
Det er en anden hændelse end den, Googles trusselsefterretningsgruppe beskrev tidligere på ugen, hvor en økonomisk motiveret aktør brugte et system med flere agenter til at indsamle loginoplysninger på seks timer. Tilsammen viser de angribere, der overlader hele operationer, ikke enkeltopgaver, til agenter. Det umiddelbare skridt er mere konkret: PaperCut-servere, der kan nås fra internettet, skal have opdateringerne, og de, der har været eksponeret siden slutningen af august, bør undersøges for tegn på indbrud. Hverken OpenAI eller DeepSeek havde kommenteret i dækningen indtil videre.
