PaperCut NG/MF yazılımındaki iki açık, saldırganların 48 ülkede en az 440 kuruluma sızmak için kullandığı bir kampanyanın merkezinde yer aldı. Eğitim kurumlarını ağırlıklı olarak hedef alan saldırılarda, ilk erişimden tam alan yöneticisi yetkisine geçiş bazı vakalarda yedi dakikaya kadar indi. GreyNoise, saldırganın boş bir çalışma alanından gerçek bir kurbanda uzaktan kod çalıştırma elde etme noktasına dört saatten kısa sürede ulaştığını da bildirdi.
İncelemelere göre faaliyet, son haftalarda izinsiz port tarama ve kaba kuvvet denemeleriyle ilişkilendirilen 45.142.193[.]132 IP adresinden yürütüldü. Aynı adres, geçen hafta da benzer etkinlik nedeniyle başka araştırmacılar tarafından işaretlenmişti. Blackpoint Cyber ve GreyNoise, bu IP’nin kaynağını bağımsız raporlarla aynı kampanyaya bağladı.
Saldırganlar, CVE-2026-81578 ve CVE-2026-82078 kodlu açıkları zincirleyerek kimlik doğrulama atlatma ve uzaktan kod çalıştırma elde etti. NVD kaydı için: CVE-2026-81578 ve CVE-2026-82078. Bu zincir, saldırganların eğitim sektörüne odaklanan fırsatçı girişimlerinde temel rol oynadı.
Hedefler arasında ABD, Birleşik Krallık, Fransa, İspanya, Kanada, Belçika, Portekiz, Avustralya, Almanya ve İsviçre’deki eğitim kurumları öne çıktı. Saldırı sonrası gözlenen işlemler arasında Windows registry hive toplama araçlarının dağıtılması, Metasploit ve Meterpreter ile ilişkili Java yükleri ile ana makineleri, kullanıcıları, süreçleri ve hassas yapılandırma verilerini tanımlamaya yarayan komutlar yer aldı. Arctic Wolf, bu faaliyetleri geçen hafta aynı etkinlikle ilişkilendirdiğini açıkladı.
GreyNoise, aynı IP adresini Temmuz 2026 başından beri internet yüzüne açık sistemleri yoklayan bir etkinlikte izlediğini bildirdi. Kurban listesine Palo Alto, Ubiquiti, Citrix, SonicWall ve Proxmox VE gibi üreticilerin sistemleri de girdi. Şirket, bu sistemlerin taranmasının ardından faaliyetin yeni hedeflere yöneldiğini kaydetti.
Şirketin bulgularına göre saldırgan, açık PaperCut yazılımı ve bir Active Directory sunucusunu içeren laboratuvar ortamı kurdu; güvenlik açığını geliştirme ve test etme sürecini bu ortamda yürüttü. Paralel çalışan süreçlerde ise Netlas.io adlı internet tarama hizmeti kullanılarak, bir API anahtarı üzerinden hedef listeleri hazırlandı. GreyNoise, bu listenin daha sonra canlı PaperCut sistemlerine yöneltilen saldırılarla ilişkilendirildiğini aktardı.
Laboratuvar ortamında uzaktan kod çalıştırma elde edilip kimlik bilgileri toplandıktan sonra, saldırganın OpenAI Codex, bir DeepSeek modeli ve kamuya açık saldırı araçlarıyla beslenen yüzlerce yapay zekâ ajanını devreye soktuğu aktarıldı. Kullanılan araçlar arasında Mimikatz, SharpHound, Certipy, Rubeus ve Impacket bulunuyor. Bu araçlar, hem saldırı hem de keşif ve kimlik bilgisi toplama aşamalarında kullanıldı.
Bu araçlarla en az 395 tespit edilmiş kuruluşa ait 440’tan fazla PaperCut MF/NG örneği ele geçirildi. GreyNoise, gerçek mağdurlar arasında henüz belirli bir kuruluşa atfedilemeyen başka sistemler de bulunduğunu, saldırganın ise 28 ülkeyi hedef dışı bırakmaya çalıştığını ancak bu kısıtlamanın bazı vakalarda işlemediğini belirtti. Dışarıda bırakılmak istenen ülkeler arasında Rusya, Çin, Hong Kong, Tayland, İran, Venezuela, Endonezya, Pakistan ve Bangladeş de yer aldı.
Blackpoint ve GreyNoise’un aktardığına göre saldırgan, boş bir çalışma alanından gerçek bir kurbanda uzaktan kod çalıştırma elde etme noktasına dört saatten kısa sürede geçti. Kampanya fiilen başladığında ise en az 11 kuruluşu 26 saniye içinde etkiledi. ABD’deki bir liseyi hedef alan bir saldırıda, ilk erişim ile tam alan yöneticisi yetkisi arasındaki süre yalnızca yedi dakika oldu. In all, the adversary is said to have gained domain administrator access against only 12 victim organizations.
Nihai hedefin ne olduğu ise halen netleşmiş değil. GreyNoise, bu aktörün erişim geliştirme aşamasını başka ortak gruplara devretmek için mi çalıştığının, yoksa bu erişimleri doğrudan veri hırsızlığı ya da fidye yazılımı yerleştirme gibi sonraki amaçlar için mi kullanacağının belirsiz olduğunu söyledi. Şirket, şu aşamada toplanan verilerin kesin bir sonuca izin vermediğini belirtti.
Blackpoint, aynı etkinliğe ilişkin ek ayrıntılarda operasyonun arkasında açıkta bırakılmış bir operatör altyapısı bulunduğunu ve bunun yapay zekâ destekli iş akışını açık araştırmasından istismar geliştirmeye, hedef filtrelemeden hata analizine, kod değişikliklerinden tekrar eden deneme dalgalarına kadar gösterdiğini anlattı. Araştırmacılar Sam Decker ve Nevan Beal, ilk kurtarılan etkinliğin 31 Ağustos’ta başladığını ve çalışmanın yamalı ile yamalanmamış PaperCut derlemelerinin karşılaştırıldığı bir güvenlik açığı araştırmasına odaklandığını yazdı.
Onlara göre bu araştırma, birkaç saat içinde çok iş parçacıklı bir doğrulama aracına dönüştürüldü; araç gözden geçirildi, test edildi ve giderek büyüyen hedef kümelerine karşı çalıştırıldı. Saldırganın yapay zekâyı hedefleme hattında da kullandığı, birden fazla kaynak listesini birleştiren, adayları coğrafi konumlarına göre ayıran, ülke bazlı filtre uygulayan, daha önce belirlenen dışlama politikasını devreye alan ve canlı PaperCut sistemlerini sonraki aşamaya taşımadan önce tanımlayan bir kod yapısı oluşturduğu aktarıldı. Blackpoint, bu akışın hedef seçimini otomatikleştirdiğini ve başarısız denemelerden öğrenen bir döngü kurduğunu belirtti.
Son aşamada hedefler, işletim sistemi ve ortam türüne göre sınıflandırıldı; ayrıca aktif olanlar, erişilemeyenler, belirli aşamaları eksik olanlar, post-exploitation için uygun bulunanlar ve yeniden deneme bekleyenler için ayrı listeler tutuldu. Başarısız girişimler tek bir kategoriye yığılmadı; saldırı çerçevesi her denemeden sonraki duruma göre güncellendi. Böylece her hedef, kendi ilerleme durumuna göre ayrı bir işleme tabi tutuldu.
Python betiklerinin de süreci izlediği, bu betiklerin yönetici erişimi, hesap doğrulaması, Active Directory toplama, alan ve ağ keşfi ile proxy kurulumu gibi son aşamaların gerçekten tamamlanıp tamamlanmadığını kontrol ettiği belirtildi. Başarısızlıklar kayda geçirildi ve saldırı çerçevesi buna göre yolunu değiştirdi. Bu kayıtlar, kampanyanın bir sonraki deneme dalgasını şekillendirdi.
Kullanılan yapının merkezinde yapay zekânın yer aldığı, tüm mimarinin bu eksende kurulduğu ifade edildi. Bu düzen, güvenlik açığı araştırmasını sürekli geri beslemeyle işleyen bir istismar hattına dönüştürüyor. Süreci ayakta tutan iki açık kaynak araç da özellikle vurgulandı: AI ajanları için kalıcı bellek hizmeti sağlayan Hindsight ve birden fazla AI ajanını aynı anda çalıştırıp izlemek için kullanılan birleşik grafik çalışma alanı AionUi. Araştırmacılar, bu iki aracın proje durumunu korumada ve çoklu ajan akışını yönetmede kilit rol oynadığını söyledi.
Blackpoint, kampanyadaki en güçlü yapay zekâ etkisinin yeni bir istismar tekniği olmadığını, yüzlerce gerçek sistem üzerinde araştırma, geliştirme, hata ayıklama, sınıflandırma, izleme, yeniden deneme ve sürekli iyileştirme için gereken insan emeğini azaltmak olduğunu söyledi. Şirket, operatörün yapay zekâ destekli araştırma, kodlama, test ve kampanya yürütme süreçlerini birbirini sürekli besleyen yinelemeli bir geliştirme döngüsü içinde kullandığını aktardı. Blackpoint’e göre bu yöntem, manuel iş yükünü azaltırken aynı anda hedefleme ve yürütme adımlarını da hızlandırdı.
Kaynaklara göre bu kampanya, saldırganların yapay zekâyı yalnızca kötü amaçlı yazılım geliştirmek için değil, hataları gidermek, proje durumunu korumak ve operasyonun diğer parçalarını hızlandırmak için de kullandığını gösteriyor. Böylece saldırıların manuel yükü düşerken, ölçek ve hız tarafında belirgin bir artış ortaya çıkıyor. Blackpoint, en önemli etkinin yeni bir teknikten ziyade insan emeğinin azaltılması olduğunu yeniden vurguladı.
GreyNoise’un aktardığı tabloya göre saldırganın denemeleri, boş bir çalışma alanından gerçek sistemlere uzanan bir çizgide ilerledi ve aynı kampanya içinde hem açık araştırması hem hedef seçimi hem de istismar yürütmesi birbirine bağlandı. Şirket, kampanyanın başlangıçtan uygulamaya geçiş süresinin kısa olduğunu, 26 saniyelik toplu etki ve yedi dakikalık tam alan yöneticisi erişimi gibi örneklerin de bunun parçası olduğunu kaydetti.
Blackpoint ve GreyNoise, bildirilen kurban sayısının altındaki bazı vakaların adlandırılamadığını da not etti. Bu da 395 tespit edilmiş kuruluşa ek olarak başka gerçek mağdurların varlığına işaret etti. Araştırmacılar, saldırganın 28 ülkeyi dışlama girişiminin bazı örneklerde başarısız kaldığını ve bu nedenle erişimlerin hedef dışı bırakılmak istenen ülkelere de sıçradığını aktardı.
İki şirketin bulgularında, operasyonun yalnızca PaperCut açıklarını kullanmakla sınırlı kalmadığı, izinsiz port tarama, kaba kuvvet, açık internet sistemlerini yoklama, laboratuvar testi, hedef listeleme, yapay zekâ destekli karar alma ve sonrasında post-exploitation adımlarının tamamının aynı çatı altında yürütüldüğü görüldü. Bu aşamalar arasında Windows registry hive toplama, Metasploit/Meterpreter ile ilişkili Java yükleri, Active Directory toplama, alan ve ağ keşfi ile proxy kurulumu yer aldı.
GreyNoise, saldırganın son aşamada yalnızca 12 kuruluşa karşı domain administrator erişimi elde ettiğini bildirdi. Şirket, bu erişimlerin ne amaçla kullanılacağının henüz bilinmediğini, ancak erişim geliştirme, veri hırsızlığı ya da fidye yazılımı yerleştirme olasılıklarının masada kaldığını kaydetti. Blackpoint ise saldırı akışının, her başarısızlık sonrası yeniden denenebilen ve eldeki bağlama göre kendini düzelten bir yapı sunduğunu belirtti.