Die beiden PaperCut-NG/MF-Schwachstellen CVE-2026-82078 und CVE-2026-81578 wurden am 27. August als Zero-Days öffentlich gemacht und bereits einen Tag später gepatcht. Beide ermöglichen es entfernten Angreifern ohne gültige Anmeldedaten, die Authentifizierung zu umgehen und beliebigen Code auf verwundbaren Instanzen auszuführen.
Schon kurz nach der Offenlegung beobachtete Jake Knott, Leiter der Bedrohungsanalyse bei WatchTowr, eine sich verstärkende Aktivität rund um die Lücken. Seine damalige Einschätzung: Vermutlich seien Initial Access Broker am Werk.
In dieser Woche legte GreyNoise nach und schrieb die Kampagne einem russischsprachigen Akteur zu. Dieser habe KI genutzt, um Exploits zu entwickeln, zu testen und auszuliefern – und damit 440 PaperCut-NG/MF-Installationen kompromittiert. Ziel der Angriffe auf die verwundbaren Instanzen von 395 Organisationen in 48 Ländern waren Codeausführung aus der Ferne sowie das Einsammeln von Zugangsdaten.
“Es gibt weitere reale Opfer, die keiner namentlich benannten Organisation zugeordnet werden konnten. Der Angreifer versuchte ausdrücklich, Ziele in 28 identifizierten Ländern zu meiden; unsere beobachtete Opferverteilung zeigt jedoch, dass diese versuchte Zurückhaltung in einigen Fällen scheiterte”, heißt es bei GreyNoise.
Durch den KI-Einsatz bei der Steuerung der Kampagne konnte der Angreifer manche Umgebungen binnen Minuten oder gar Sekunden übernehmen. Gleichmäßig erfolgreich war er allerdings nicht: Domänenadministrator-Rechte erlangte er nur bei zwölf betroffenen Organisationen.
“Es ist unklar, ob dieser Akteur sich ausschließlich auf den Aufbau von Zugängen konzentriert, die an andere verbundene Akteure weitergereicht werden, oder ob er seine Zugänge direkt für Folgeziele wie Datendiebstahl oder den Einsatz von Ransomware nutzen wird”, so GreyNoise.
Die Analysten identifizierten drei Angriffswege innerhalb der Kampagne: das Auslesen des LSASS-Prozessspeichers und von Registry-Geheimnissen auf Hosts, die Mitglied einer Domäne waren, NoPac-Angriffe gegen ungepatchte Systeme sowie – sofern der Host ein Domänencontroller war – das Anlegen eines neuen Kontos in der Gruppe der Domänenadministratoren.
In Zahlen: Auf 280 der kompromittierten Hosts sammelten die Angreifer Zugangsdaten ein, von 137 davon schleusten sie Geheimnisse aus, und in zwölf Fällen erlangten sie Domänenadministrator-Rechte.
Die Opferverteilung zeigt einen klaren Schwerpunkt im Bildungsbereich: 204 der 440 kompromittierten Installationen gehörten Bildungseinrichtungen. Daneben traf es jeweils Dutzende Organisationen aus dem Einzelhandel und den professionellen Dienstleistungen, der Immobilien- und Gastgewerbebranche, dem IT- und MSP-Umfeld, dem Non-Profit- und Wohltätigkeitssektor, aus Bibliotheken sowie aus Fertigung und Versorgungswirtschaft.