Die Kampagne zeigt, wie stark KI-gestützte Automatisierung das Tempo eines Angriffs verändert. Nach Darstellung von GreyNoise vergingen vom leeren Arbeitsbereich bis zur ersten Codeausführung aus der Ferne gegen ein reales Opfer knapp vier Stunden, weitere zwei Stunden bis zum ersten Domänenadministrator. Nach dem Start der eigentlichen Kampagne seien binnen 26 Sekunden mindestens elf Organisationen kompromittiert worden.
“In einem Fall gelangte der Angreifer bei einer weiterführenden Schule in den Vereinigten Staaten in sieben Minuten vom ersten Zugriff zum vollständigen Domänenadministrator”, heißt es bei GreyNoise. Die Forscher betonen, dass KI Angreifern derart schnelle Vorstöße erlaubt, dass Verteidigern nur noch sehr enge Reaktionsfenster bleiben.
Technische Grundlage waren die beiden PaperCut-Schwachstellen CVE-2026-81578 und CVE-2026-82078. Nach deren Ausnutzung beobachteten die Forscher drei unterschiedliche Angriffspfade. In allen Fällen kam die Post-Exploitation-Technik DCSync zum Einsatz, mit der die Angreifer einen vollständigen NTDS.DIT-Auszug samt Domänen-Zugangsdaten erlangten.
Das eingesetzte Werkzeugarsenal bestand überwiegend aus bekannten Standardwerkzeugen: Ligolo-ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket und NetExec, ergänzt um eigene, in Rust geschriebene Programme zum Einsammeln von Zugangsdaten. Für die Exploit-Entwicklung selbst griffen die Agenten auf OpenAIs Codex und DeepSeek-Modelle zurück, die Zielliste entstand über die Scan-Plattform Netlas.
Auffällig ist die Ausschlussliste des Angreifers: Er wies die Agenten an, Ziele in Russland, China, Iran, der Ukraine, Belarus, Moldau, Brasilien und Südafrika zu meiden. Diese Vorgaben hielten die Agenten laut GreyNoise allerdings nicht durchgängig ein — ein Hinweis darauf, wie unzuverlässig automatisierte Angreiferwerkzeuge ihre eigenen Regeln befolgen.
Die Bilanz der Kampagne: mindestens 440 kompromittierte PaperCut-Instanzen bei 395 Organisationen in 48 Ländern. Zugangsdaten flossen bei 280 Opfern ab, bei 147 kamen Betriebssystem- oder Domänengeheimnisse hinzu, in zwölf Organisationen erlangten die Angreifer Administratorrechte. Etwa die Hälfte der Betroffenen stammt aus dem Bildungsbereich; geografisch führen die Vereinigten Staaten das Feld an, gefolgt von Großbritannien, Frankreich, Spanien und Kanada.
Welches Ziel hinter der Operation steht, konnte GreyNoise nicht klären. Der erlangte Zugang eigne sich sowohl für Datendiebstahl als auch für Ransomware-Operationen. Systemadministratoren sollten die Notfall-Sicherheitsupdates von PaperCut für CVE-2026-81578 und CVE-2026-82078 sofort einspielen und den Empfehlungen des Herstellers aus dessen Bulletin folgen.
GreyNoise weist zudem darauf hin, dass pauschale Präventionskennzahlen verdecken können, was nach dem Erstzugriff geschieht: Sobald Angreifer mit gültigen Zugangsdaten arbeiten, sinkt die Schutzwirkung deutlich.