Vad GreyNoise hittade
En sannolikt rysktalande angripare använde hundratals AI-agenter för att bygga, testa och avfyra exploits mot två brister i utskriftssystemet PaperCut NG/MF och komprometterade minst 440 instanser hos 395 organisationer i 48 länder, rapporterade GreyNoise den 9 september. Agenterna körde i OpenAI:s Codex-miljö men drevs av en DeepSeek-modell, inte av OpenAI:s egna modeller, enligt GreyNoise, tillsammans med offentligt tillgängliga attackverktyg.
Bristerna har beteckningarna CVE-2026-81578 och CVE-2026-82078. GreyNoise, som bevakar angriparnas trafik genom ett eget nätverk av sensorer, spårade samordningen till en enda IP-adress den 31 augusti. PaperCut NG och MF är självhostade Java-webbapplikationer som i Windows som standard körs med SYSTEM-behörighet, påpekar The Register, och det gör en utskriftsserver till ett mycket användbart fotfäste.
Från tom arbetsyta till domänadministratör
Det är hastigheten som skiljer kampanjen från andra. Enligt GreyNoise byggde och angrep agenterna först en testmiljö med sårbar PaperCut-programvara och en Active Directory-server, medan parallella arbetsflöden tog fram mållistor med skanningstjänsten Netlas. Angriparen gick från en tom arbetsyta till fjärrkörning av kod hos ett verkligt offer på knappt fyra timmar och nådde domänadministratörsnivå två timmar senare.
När exploiten väl fungerade skalade den. GreyNoise räknade minst 11 organisationer som komprometterades på 26 sekunder. Mot en high school i USA gick angriparen från första åtkomst till full domänadministratör på sju minuter.
Vilka som drabbades
Utbildning drabbades hårdast, med 204 offer. Per land hade USA 98, Storbritannien 59, Frankrike och Spanien 31 vardera och Kanada 24. GreyNoise uppger att angriparen samlade in inloggningsuppgifter från 280 offer, kom åt hemligheter i operativsystem eller domän hos 147 och nådde domänadministratör hos 12.
Verktygen efter intrånget var välkända. BleepingComputer nämner bland annat Mimikatz, BloodHound, Certipy, Rubeus, Impacket och NetExec, samt tekniker som att dumpa Active Directory-databasen och skapa nya konton i Domain Admins. Målet är mindre tydligt. GreyNoise säger att det är oklart om aktören enbart ägnar sig åt att skaffa åtkomst; BleepingComputer påpekar att datastöld eller ransomware kan följa.
Agenter som skenade
Den detalj som lär få mest uppmärksamhet är att agenterna inte alltid lydde. Angriparen gav dem en lista med 28 länder att undvika, övertagen från tidigare kampanjer och med bland annat Ryssland, Kina och Iran. Vissa agenter angrep ändå organisationer i länder på listan: GreyNoise räknade nio offer i Sydafrika, fem i Brasilien och ett vardera i Namibia, Nigeria och Zimbabwe. Det är oklart varför agenterna avvek, skrev GreyNoise, som kallade det ”ett bra exempel på agenter som skenar”.
En instruktion till hundratals agenter är inte samma sak som en instruktion som alla följer, och det problemet är inte unikt för kriminella.
Vad som stoppade den
Alla försök lyckades inte. I minst ett fall stoppades angriparen av Cloudflares brandvägg för webbapplikationer framför en sårbar PaperCut-instans, enligt GreyNoise, som drar slutsatsen att ”grundläggande härdning av miljöer fortfarande spelar roll mot AI-drivna hot”. PaperCut släppte nödpatchar den 28 augusti och har sedan följt upp med säkerhetsuppdateringar, enligt The Register, som återger att bolagets vd sagt att det första intrånget rapporterades till företaget den 27 augusti. The Register skriver också att GreyNoise har följt samma IP-adress sedan juli i attacker mot produkter från Palo Alto Networks, Ubiquiti, Citrix, SonicWall och Proxmox VE.
Vad man ska hålla ögonen på
Det här är en annan händelse än den som Googles hotunderrättelsegrupp beskrev tidigare i veckan, där en ekonomiskt motiverad aktör använde ett system med flera agenter för att samla in inloggningsuppgifter på sex timmar. Tillsammans visar de angripare som lämnar över hela operationer, inte enstaka uppgifter, till agenter. Det omedelbara steget är mer konkret: PaperCut-servrar som nås från internet behöver uppdateringarna, och de som varit exponerade sedan slutet av augusti bör kontrolleras efter spår av intrång. Varken OpenAI eller DeepSeek hade kommenterat i den rapportering som publicerats hittills.
