GreyNoise verfolgt die missbräuchliche Nutzung der IP-Adresse nach eigenen Angaben seit Anfang Juli 2026. Damals wurden internetseitige Systeme mehrerer Hersteller abgetastet, darunter Palo Alto, Ubiquiti, Citrix, SonicWall und Proxmox VE.
Zur Exploit-Entwicklung baute der Akteur laut GreyNoise eine eigene Laborumgebung mit der anfälligen PaperCut-Software und einem Active-Directory-Server auf und griff diese an. Parallel entstanden Ziellisten über den Internet-Scandienst Netlas.io, für den ein API-Schlüssel identifiziert wurde. Nachdem im Labor Codeausführung und das Abgreifen von Zugangsdaten funktionierten, setzte der Angreifer hunderte KI-Agenten auf Basis von OpenAI Codex und eines DeepSeek-Modells ein, ergänzt durch frei verfügbare Werkzeuge wie Mimikatz, SharpHound, Certipy, Rubeus und Impacket.
Arctic Wolf beobachtete nach der Ausnutzung unter anderem das Ausliefern von Werkzeugen zum Einsammeln von Windows-Registry-Hives, Java-Nutzlasten im Umfeld von Metasploit und Meterpreter sowie Befehle zur Ermittlung von Hosts, Benutzern, Prozessen und sensiblen Konfigurationsdaten.
Das Tempo ist bemerkenswert: Laut GreyNoise brauchte der Akteur von einem leeren Arbeitsbereich bis zur ersten Codeausführung gegen ein echtes Opfer knapp vier Stunden; nach dem eigentlichen Kampagnenstart wurden mindestens elf Organisationen innerhalb von 26 Sekunden kompromittiert. Bei einer Highschool in den USA lagen zwischen Erstzugang und vollen Domänenadministratorrechten sieben Minuten. Insgesamt erlangte der Angreifer solche Rechte allerdings nur bei zwölf Opferorganisationen.
Auffällig ist eine Ausschlussliste: Der Akteur versuchte laut GreyNoise ausdrücklich, Ziele in 28 Ländern zu meiden – darunter Russland, China, Hongkong, Thailand, Iran, Venezuela, Indonesien, Pakistan und Bangladesch. “Die versuchte Zurückhaltung ist in einigen Fällen gescheitert”, so die Analysten, die zudem betonen, dass es weitere reale Opfer gebe, die keiner benannten Organisation zugeordnet werden konnten. “Es ist unklar, ob dieser Akteur ausschließlich auf den Aufbau von Zugängen setzt, die an andere verbundene Akteure übergeben werden, oder ob er seine Zugänge direkt für Folgeziele wie Datendiebstahl oder den Einsatz von Ransomware nutzt”, schreibt GreyNoise.
Blackpoint konnte die Aktivität auf eine offen zugängliche Infrastruktur des Betreibers zurückführen, die den KI-gestützten Arbeitsablauf von der Schwachstellenforschung über die Exploit-Entwicklung bis zur Ausführung samt Zielfilterung, Fehleranalyse, Codeänderungen und wiederholten Neuversuchen zeigt. “Die früheste rekonstruierte Aktivität begann am 31. August, wobei sich das Projekt auf Schwachstellenforschung und den Vergleich gepatchter und ungepatchter PaperCut-Builds konzentrierte”, schreiben Beal und der Sicherheitsforscher Sam Decker. Binnen Stunden sei daraus ein mehrfädiges Prüfwerkzeug geworden, das gegen immer größere Zielmengen getestet und ausgeführt wurde.
Auch die Zielauswahl läuft automatisiert: Der rekonstruierte Quellcode führt mehrere Quelllisten zusammen, geolokalisiert Kandidaten, filtert sie nach Ländern samt Ausschlussliste und identifiziert aktive PaperCut-Systeme. Anschließend werden Ziele nach Betriebssystem und Umgebung sortiert, mit getrennten Listen für erreichbare, nicht erreichbare, unvollständig bearbeitete, für Post-Exploitation geeignete und auf einen erneuten Versuch wartende Systeme. Python-Skripte überwachen spätere Schritte wie Administratorzugang, Kontoprüfung, Active-Directory-Sammlung, Domänen- und Netzwerkerkundung sowie Proxy-Einrichtung und protokollieren Fehlschläge, sodass das Angriffsgerüst seine Vorgehensweise anpassen kann. Unterstützt wird das System von zwei Open-Source-Werkzeugen: Hindsight als persistentem Gedächtnisdienst für KI-Agenten und AionUi als grafischer Arbeitsumgebung für den parallelen Betrieb mehrerer Agenten.
“Der stärkste KI-Effekt in dieser Kampagne war keine neue Exploit-Technik”, so Blackpoint. “Es war die Verringerung des menschlichen Aufwands, der nötig ist, um Ausnutzung über hunderte reale Systeme hinweg zu erforschen, zu entwickeln, zu debuggen, zu klassifizieren, nachzuverfolgen, zu wiederholen und fortlaufend zu verbessern.”