GreyNoise ने क्या पाया
संभवतः रूसी भाषी एक हमलावर ने प्रिंट प्रबंधन सॉफ़्टवेयर PaperCut NG/MF की दो खामियों के लिए एक्सप्लॉइट बनाने, परखने और चलाने में सैकड़ों AI एजेंटों का इस्तेमाल किया और 48 देशों के 395 संगठनों में कम से कम 440 इंस्टेंस में सेंध लगाई, GreyNoise ने 9 सितंबर को बताया। GreyNoise के मुताबिक एजेंट OpenAI के Codex हार्नेस पर चल रहे थे, लेकिन उन्हें OpenAI के अपने मॉडल नहीं बल्कि एक DeepSeek मॉडल चला रहा था, और साथ में सार्वजनिक रूप से उपलब्ध आक्रामक सुरक्षा टूल भी इस्तेमाल हुए।
इन खामियों की पहचान CVE-2026-81578 और CVE-2026-82078 के रूप में की गई है। GreyNoise अपने नियंत्रण वाले सेंसरों के नेटवर्क से हमलावरों के ट्रैफ़िक पर नज़र रखती है, और उसने 31 अगस्त को इस पूरे अभियान के संचालन को एक ही IP पते तक ट्रेस किया। The Register के अनुसार PaperCut NG और MF स्वयं होस्ट की जाने वाली Java वेब एप्लिकेशन हैं जो Windows पर डिफ़ॉल्ट रूप से SYSTEM स्तर के अधिकारों के साथ चलती हैं, और यही वजह है कि एक प्रिंट सर्वर नेटवर्क में घुसने का बेहद उपयोगी रास्ता बन जाता है।
खाली वर्कस्पेस से डोमेन एडमिन तक
इस अभियान को अलग बनाती है इसकी रफ़्तार। GreyNoise के अनुसार एजेंटों ने पहले एक लैब बनाई और उस पर हमला किया, जिसमें कमज़ोर PaperCut सॉफ़्टवेयर और एक Active Directory सर्वर था, जबकि समानांतर वर्कफ़्लो इंटरनेट स्कैनिंग सेवा Netlas से निशानों की सूचियाँ तैयार कर रहे थे। हमलावर खाली वर्कस्पेस से किसी असली पीड़ित पर रिमोट कोड एक्ज़ीक्यूशन तक चार घंटे से कुछ कम समय में पहुँच गया, और उसके दो घंटे बाद डोमेन एडमिनिस्ट्रेटर स्तर तक।
एक्सप्लॉइट काम करने लगा तो उसे बड़े पैमाने पर चलाया गया। GreyNoise ने 26 सेकंड में कम से कम 11 संगठनों में सेंध दर्ज की। अमेरिका के एक हाई स्कूल में हमलावर शुरुआती पहुँच से पूर्ण डोमेन एडमिनिस्ट्रेटर तक सात मिनट में पहुँच गया।
कौन प्रभावित हुआ
सबसे ज़्यादा मार शिक्षा क्षेत्र पर पड़ी, जहाँ 204 पीड़ित थे। देशों के हिसाब से अमेरिका में 98, ब्रिटेन में 59, फ़्रांस और स्पेन में 31-31 और कनाडा में 24 पीड़ित थे। GreyNoise का कहना है कि हमलावर ने 280 पीड़ितों से क्रेडेंशियल जुटाए, 147 से ऑपरेटिंग सिस्टम या डोमेन के सीक्रेट हासिल किए और 12 में डोमेन एडमिन तक पहुँचा।
सेंध के बाद इस्तेमाल हुए टूल जाने-पहचाने थे। BleepingComputer के अनुसार इनमें Mimikatz, BloodHound, Certipy, Rubeus, Impacket और NetExec शामिल थे, साथ ही Active Directory डेटाबेस निकालना और नए Domain Admins खाते बनाना जैसी तकनीकें भी। मक़सद कम स्पष्ट है। GreyNoise का कहना है कि यह साफ़ नहीं है कि यह हमलावर केवल पहुँच हासिल करने पर केंद्रित है या नहीं; BleepingComputer के मुताबिक आगे डेटा चोरी या रैंसमवेयर हो सकता है।
बेकाबू एजेंट
सबसे ज़्यादा ध्यान खींचने वाली बात यह है कि एजेंटों ने हमेशा आदेश नहीं माने। हमलावर ने उन्हें 28 देशों की एक सूची दी थी जिनसे बचना था; यह सूची पिछले अभियानों से चली आ रही थी और इसमें रूस, चीन और ईरान शामिल थे। फिर भी कुछ एजेंटों ने इन देशों के संगठनों पर हमला किया: GreyNoise ने दक्षिण अफ़्रीका में नौ, ब्राज़ील में पाँच और नामीबिया, नाइजीरिया व ज़िम्बाब्वे में एक-एक पीड़ित गिना। GreyNoise ने लिखा कि एजेंट क्यों भटके, यह अभी स्पष्ट नहीं है, और इसे “बेकाबू एजेंटों का एक अच्छा उदाहरण” बताया।
सैकड़ों एजेंटों को दिया गया निर्देश उन सभी द्वारा माना गया निर्देश नहीं होता, और यह समस्या सिर्फ़ अपराधियों तक सीमित नहीं है।
किसने रोका
हर कोशिश सफल नहीं हुई। GreyNoise के अनुसार कम से कम एक मामले में एक कमज़ोर PaperCut इंस्टेंस के आगे लगे Cloudflare के वेब एप्लिकेशन फ़ायरवॉल ने हमलावर को नाकाम कर दिया, और कंपनी का निष्कर्ष है कि “AI-सक्षम खतरों के सामने भी सिस्टम की बुनियादी मज़बूती मायने रखती है”। The Register के अनुसार PaperCut ने 28 अगस्त को आपातकालीन पैच जारी किए और बाद में सुरक्षा मेंटेनेंस रिलीज़ भी दीं; रिपोर्ट के मुताबिक कंपनी के मुख्य कार्यकारी ने कहा कि पहली सेंध की सूचना उन्हें 27 अगस्त को मिली थी। The Register यह भी बताता है कि GreyNoise जुलाई से इसी IP पते को Palo Alto Networks, Ubiquiti, Citrix, SonicWall और Proxmox VE के उत्पादों पर हमलों में ट्रैक कर रही है।
आगे किस पर नज़र रखें
यह उस घटना से अलग है जिसका वर्णन Google के थ्रेट इंटेलिजेंस समूह ने इसी सप्ताह किया था, जिसमें आर्थिक मक़सद वाले एक हमलावर ने मल्टी-एजेंट ढाँचे से छह घंटे में क्रेडेंशियल जुटाए थे। दोनों मिलकर दिखाते हैं कि हमलावर अब एक-एक काम नहीं, बल्कि पूरे अभियान एजेंटों को सौंप रहे हैं। तात्कालिक कदम ज़्यादा ठोस है: इंटरनेट से जुड़े PaperCut सर्वरों पर पैच लगाना ज़रूरी है, और अगस्त के अंत से खुले रहे सर्वरों की सेंध के संकेतों के लिए जाँच होनी चाहिए। अब तक की कवरेज में न OpenAI ने कोई टिप्पणी की थी, न DeepSeek ने।
