1. Een cybercriminele campagne gebruikte honderden AI-agenten om internetgerichte PaperCut NG en MF printmanagementservers te targeten. De campagne maakte gebruik van twee kwetsbaarheden in PaperCut NG/MF: CVE-2026-81578 (ongeauthenticeerde verzoeken voor instellingenwijzigingen) en CVE-2026-82078 (kwetsbaarheid voor code-uitvoering bij het wijzigen van instellingen). Deze kwetsbaarheden kunnen samen een pad creëren van een kwetsbare server naar externe code-uitvoering.
2. De operatie combineerde OpenAI's Codex met een DeepSeek-model en gangbare beveiligingstools om exploits te ontwikkelen en te testen.
3. AI-agenten faciliteerden snelle voortgang tijdens de complexe inbraak, maar de doorbraak was afhankelijk van kwetsbare of slecht beveiligde systemen. Het aanvalsgereedschap controleerde eerst de kwetsbaarheid van een server en wijzigde vervolgens de PaperCut-instellingen om een route voor code-uitvoering voor te bereiden. Er werden verschillende exploitvarianten gevonden voor diverse PaperCut-versies en netwerkomstandigheden. Een aparte XML-RPC-route werd gedocumenteerd voor gebruik wanneer de API bereikbaar was maar de toegangscontroles zwak waren.
4. De activiteit begon op 31 augustus 2026, toen de actor een zelfgehost lab gebruikte om de software te testen en de exploit te verfijnen. Na het testen bereikte de operator binnen vier uur een eerste echt systeem en verkreeg twee uur later domeinbeheerdersrechten.
5. De schaal van de campagne werd gedreven door automatisering en snelle exploitatie van PaperCut-kwetsbaarheden. Na initiële toegang werden hulpmiddelen voor het verzamelen van Windows-registergegevens en servicegegevens, evenals scripts voor het creëren van reverse SOCKS-tunnels, aangetroffen. Deze tunnels maken het mogelijk verkeer via een gecompromitteerde host te leiden en systemen binnen het netwerk van het slachtoffer te bereiken.
6. Gecompromitteerde printservers werden gebruikt voor het verzamelen van inloggegevens en toegang tot interne netwerken. De bestanden bevatten ook informatie over de automatisering van vervolgactiviteiten en het verpakken van gegevens over gecompromitteerde systemen voor toekomstige toegang. Een PaperCut-toegang kan een route worden naar een domeincontroller en gevoelige accountgegevens.
7. De beschreven cijfers zijn gebaseerd op waargenomen activiteit en garanderen geen volledige inbreuk of identiek resultaat voor elke doelwit. Minstens 440 instanties, gelinkt aan 395 organisaties in 48 landen, werden gecompromitteerd. De reconnaissance-pool van de actor omvatte 1005 hosts in minimaal 45 landen, inclusief systemen die als kwetsbaar werden beoordeeld.
8. Op het moment van de detectie waren er 45 doelwitten met werkende reverse SOCKS-toegang en 46 Active Directory-domeinen in de teruggevonden slachtofferpakketten. De operatie kwam in een bredere fase terecht, waarbij 11 organisaties in 26 seconden werden gecompromitteerd.
9. Bij een latere analyse werden blootgestelde aanvalsmappen gevonden met instructies voor agenten, exploitcode, logs, hulpmiddelen voor inloggegevens en documentatie van de operatie. De analyse van blootgestelde bestanden onthulde gestructureerde projectmappen, statusnotities, doelwitlijsten en instructies voor de agent om te blijven testen, aanpassingen te maken na mislukkingen en parallelle taken uit te voeren. De gevonden bestanden duiden op een geautomatiseerd en iteratief proces.
10. Het patchen van de oorspronkelijke kwetsbaarheid sluit niet automatisch een blootgestelde API met zwakke authenticatie of netwerkbeperkingen. Het patchen van een server voorkomt verder misbruik van bekende kwetsbaarheden, maar sluit niet uit dat een indringer al toegang heeft verkregen.
11. PaperCut adviseert beveiligingsonderhoudsversies 26.0.5, 25.0.13 en 24.1.10; organisaties dienen het advies van de leverancier te raadplegen voor upgrade-richtlijnen.
12. Organisaties wordt geadviseerd publieke toegang tot PaperCut-beheerinterfaces te beperken, de XML-RPC API te beperken of sterke authenticatie en netwerk allowlists te handhaven, en logs en endpointwaarschuwingen te controleren op verdachte activiteiten. Het patchen van de oorspronkelijke kwetsbaarheid sluit niet automatisch een blootgestelde API met zwakke authenticatie of netwerkbeperkingen.
13. Voor verdedigers is het aanbevolen om te patchen en te onderzoeken. Administrators dienen te zoeken naar onverwachte accounts, wijzigingen in privileges, verzameling van inloggegevens, ongebruikelijke uitgaande verbindingen en tekenen van toegang tot Active Directory. Er wordt aanbevolen te zoeken naar onverwachte wijzigingen in user-lookup.* instellingen, bestanden in de custom/web/ directory, ongebruikelijke child processen, en tekenen van chisel-gebaseerde tunnels of cron persistence.
14. Deze gegevens illustreren hoe aanvallers initiële toegang kunnen omzetten in een langdurige netwerktoegang. De PaperCut command-execution dekking en een gerelateerd rapport over een PaperCut server die werd gebruikt om een domeincontroller te bereiken, bieden aanvullende context voor het beoordelen van post-exploitatieactiviteiten.