导语

2026 年 8 月 31 日，一个疑似使用俄语的攻击者，借助 AI 与数百个 AI 智能体（Agent），对打印管理软件 PaperCut NG/MF 发起了一场全球性的攻击行动——至少攻陷 440 个实例，波及 48 个国家的 395 个组织。攻击者从空白环境到拿下首个真实受害者，仅用了不到 4 小时。以下是安全公司 GreyNoise 对此次行动的完整分析。

GreyNoise 通过其全球观测网格（Global Observation Grid，GOG）观测攻击者活动。GOG 是一个由传感器组成的网络，能够将攻击者的扫描与利用行为吸引到我们掌控的基础设施上。这使我们能够直接研究攻击者的基础设施、工具和战术手法（tradecraft），而无需等待受害者调查。自 2026 年 7 月初以来，GreyNoise 一直在追踪 IP 地址 45.142.193[.]132 的恶意使用情况，因为该 IP 被用于攻击面向互联网的技术与设备，涉及 Palo Alto、Ubiquiti、Citrix、SonicWall 和 Proxmox VE 等厂商的产品。

2026 年 8 月 31 日，一个疑似使用俄语的恶意网络行为者（MCA）利用 45.142.193[.]132 以及人工智能（AI）来开发、测试并使用针对 PaperCut NG/MF 的漏洞利用程序（涉及 CVE-2026-81578 和 CVE-2026-82078）。PaperCut 是一款打印管理软件，可帮助组织跟踪、计费并管理打印、复印和扫描任务。PaperCut 提供云端和自托管两种版本；PaperCut NG 和 MF 是自托管的 Java Web 应用程序，默认情况下在 Windows 上以 SYSTEM 级权限运行，通常已加入域并与 Active Directory 集成。在开发与测试漏洞利用程序的过程中，攻击者搭建并攻击了一个实验室环境，其中包括存在漏洞的 PaperCut 软件和一台 Active Directory 服务器。与此同时，攻击者还并行使用互联网扫描服务 Netlas.io（使用了一个已被识别的 API 密钥）来构建目标清单。

攻击者在其自托管实验室环境中实现远程代码执行（RCE）和凭据窃取后，使用由 OpenAI 的 Codex（作为编排框架 harness）、一个 DeepSeek 模型（而非 OpenAI 模型）以及各种公开可用的攻击性安全工具所驱动的数百个 AI 智能体，机会主义地攻陷了至少 440 个 PaperCut MF/NG 实例，涉及 48 个国家中 395 个已识别的受害组织。此外，还有一些真实受害者无法归因到具名组织。攻击者确实明确尝试避免针对 28 个已识别国家的实体；然而，我们观测到的受害者情况显示，这种刻意的克制在某些情况下并未奏效。

显而易见，大语言模型（LLM）正使攻击者能够以更快的速度和更大的规模行动。攻击者从空白的工作空间开始，用了不到 4 小时就首次对真实受害者实现了 RCE，又过了大约 2 小时取得首个域管理员权限；而当整个攻击行动全面启动后，攻击者在 26 秒内就攻陷了至少 11 个组织。在其中一起案例中，攻击者针对美国一所高中，从初始访问到获得完整域管理员权限仅用了 7 分钟。不过，攻击者并非在所有受害者身上都同样得手——GreyNoise 观测到，攻击者仅对 12 个受害组织成功取得了域管理员权限。

攻击者并未立即对所有已攻陷的受害者进行后续行动，因此在初始访问与取得域管理员权限之间出现了数天的延迟，而这仅仅是因为攻击者没有采取行动所致。在成功取得域管理员权限的案例中，攻击者最快仅用了 5 分钟，最长用了 144 分钟。截至 GreyNoise 最后一次观测时，攻击者尚未对其他受害者取得域管理员权限。在至少一起针对被视为存在漏洞的 PaperCut 实例的攻击中，Cloudflare 的 Web 应用防火墙（WAF）成功阻止了攻击者。

面对 AI 赋能的威胁，对环境的根本性加固仍然至关重要。

目前尚不清楚该行为者是仅专注于获取访问权限、以便移交给其他关联行为者，还是会直接利用所获得的访问权限来达成后续目标，例如数据窃取或部署勒索软件。过去，涉及利用 PaperCut 漏洞的其他入侵事件曾导致勒索。GreyNoise 已与业界领先的应急响应服务机构合作，全天候开展受害者通报工作。

核心要点

• 尽管美国的前沿模型设有防护栏（guardrails），攻击者仍在全球范围内使用多种大语言模型实施入侵；
• AI 能够实现快速、高效的复杂网络行动编排；然而，若约束不当，智能体（agentic）操作可能会偏离预期行为，并带来操作风险；
• 面对智能体攻击，组织并非无能为力，传统的安全加固确实对组织的安全态势具有积极影响。

入侵攻击生命周期

在成功取得域管理员权限的案例中，GreyNoise 观测到了三种攻击路径：

攻击路径 A：如果被攻陷的 PaperCut 主机是域成员，攻击者会提取 LSASS 进程内存和注册表机密，以恢复高权限凭据，并对域控制器实施 pass-the-hash（哈希传递）攻击。

攻击路径 B：在受害者尚未修补 CVE-2021-42278 和 CVE-2021-42287 的情况下，攻击者使用了 “noPac” 攻击。

攻击路径 C：如果被攻陷的 PaperCut 主机就位于域控制器本身，或以域管理员服务账户运行，攻击者会直接将其新建的账户添加到 Domain Admins（域管理员组）。

在所有攻击路径中，攻击者都使用 DCSync 创建了完整的 NTDS.DIT 转储，以窃取组织的凭据。

失陷指标（IOC）

注意：这些 IOC 并非详尽无遗，因为由 AI 赋能的攻击者会持续根据需要进行即时调整。GreyNoise 将继续在 GitHub 上添加新的 IOC。

攻击者工具包

该 MCA 拥有一套公开可用的攻击性安全工具库，用于扩大对企业环境的访问。请注意，并非所有这些工具都在本次攻击行动中被观测到实际使用。

目标与受害者分析

此次攻击行动似乎是机会主义性质的。美国境内的目标高度集中在教育行业；不过，这更可能归因于 PaperCut NG/MF 的客户群体分布。

攻击者使用了一份沿袭自以往攻击行动的“需回避国家”清单。目前尚不确定为何该 MCA 的智能体会发生偏离，但这正是“AI 特工失控”（Agents Gone Wild）的一个绝佳例证。按顺序需回避的国家包括：俄罗斯、中国、中国香港、泰国、伊朗、委内瑞拉、白俄罗斯、哈萨克斯坦、吉尔吉斯斯坦、塔吉克斯坦、土库曼斯坦、乌兹别克斯坦、亚美尼亚、阿塞拜疆、摩尔多瓦、乌克兰、巴西、越南、印度尼西亚、巴基斯坦、坦桑尼亚、孟加拉国、阿富汗、土耳其、南非、纳米比亚、尼日利亚和津巴布韦。

各国受害数量

各行业受害数量

GreyNoise 将继续监测相关情况，并视需要发布更新。

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）