Serangan Berbasis AI Eksploitasi Celah PaperCut untuk Membobol 395 Organisasi

Sebuah kelompok penyerang yang kemungkinan besar menggunakan bahasa Rusia memanfaatkan ratusan AI agent untuk mengembangkan dan menjalankan kampanye eksploitasi global terhadap server PaperCut NG/MF yang rentan.

Menurut perusahaan threat intelligence GreyNoise, operasi tersebut memanfaatkan kombinasi model AI OpenAI Codex dan DeepSeek bersama berbagai offensive security tools untuk mengeksploitasi dua kerentanan PaperCut, yaitu CVE-2026-81578 dan CVE-2026-82078.

Kedua kerentanan tersebut sebelumnya telah ditandai sebagai celah yang aktif dieksploitasi pada awal September 2026.

395 Organisasi di 48 Negara Menjadi Korban

GreyNoise menemukan bahwa kampanye ini dimulai pada 31 Agustus 2026. AI agent digunakan untuk membangun, menguji, serta menyempurnakan exploit sebelum kemudian digunakan terhadap target nyata.

Untuk menemukan server PaperCut yang dapat diserang, para agent juga menghasilkan daftar target menggunakan platform scanning dan internet discovery Netlas.

Hasil pemantauan GreyNoise menunjukkan setidaknya:

• 440 instance PaperCut berhasil dikompromikan
• 395 organisasi terdampak
• Korban tersebar di 48 negara
• 280 korban mengalami pencurian credential
• 147 organisasi kehilangan OS atau domain secrets
• 12 organisasi mengalami pengambilalihan hingga level administrator

Sektor pendidikan menjadi target terbesar dan menyumbang sekitar setengah dari seluruh organisasi yang berhasil dibobol.

Amerika Serikat menjadi negara yang paling banyak ditargetkan, kemudian disusul Inggris, Prancis, Spanyol, dan Kanada.

AI Membuat Serangan Berlangsung Sangat Cepat

Salah satu aspek paling mengkhawatirkan dari kampanye ini adalah kecepatan serangan.

GreyNoise mencatat bahwa penyerang dapat beralih dari lingkungan kerja kosong hingga berhasil memperoleh Remote Code Execution (RCE) pada korban nyata dalam waktu kurang dari empat jam.

Setelah itu, hanya dibutuhkan sekitar dua jam tambahan untuk mendapatkan akses Domain Admin pertama.

Ketika kampanye global diluncurkan, setidaknya 11 organisasi berhasil dikompromikan hanya dalam 26 detik.

Dalam salah satu kasus, penyerang bahkan berhasil berpindah dari akses awal hingga memperoleh hak Domain Administrator hanya dalam tujuh menit pada sebuah sekolah menengah di Amerika Serikat.

Kecepatan tersebut memberikan ruang yang sangat kecil bagi administrator untuk mendeteksi dan menghentikan serangan sebelum penyerang memperluas aksesnya.

AI Agent Tidak Selalu Mematuhi Aturan Target

GreyNoise juga menemukan bahwa operator memberikan daftar negara yang harus dihindari oleh AI agent.

Negara yang tercantum antara lain Rusia, China, Iran, Ukraina, Belarus, Moldova, Brasil, dan Afrika Selatan.

Namun, AI agent tidak selalu mengikuti aturan tersebut secara konsisten. Temuan ini menunjukkan bahwa meskipun operator dapat memberikan instruksi dan batasan tertentu kepada agent, pelaksanaan di lapangan masih dapat menghasilkan target yang tidak sesuai dengan parameter awal.

GreyNoise menilai kemampuan AI dalam mengotomatiskan berbagai tahap serangan dapat mengubah skala dan kecepatan operasi cyberattack secara signifikan.

Tiga Jalur Serangan Setelah PaperCut Dibobol

Setelah berhasil mengeksploitasi server PaperCut, penyerang menggunakan beberapa jalur untuk meningkatkan akses di lingkungan korban.

1. Mencuri Credential dari Server PaperCut

Salah satu metode yang digunakan adalah melakukan dump terhadap LSASS memory dan registry secrets dari server PaperCut yang tergabung dalam domain.

Credential hash yang berhasil diperoleh kemudian digunakan untuk melakukan pass-the-hash attack terhadap domain controller.

Metode ini memungkinkan penyerang memanfaatkan credential yang telah dicuri tanpa harus mengetahui password asli pengguna.

2. Memanfaatkan Kerentanan noPac

Pada lingkungan yang masih rentan terhadap CVE-2021-42278 dan CVE-2021-42287, penyerang menggunakan serangan yang dikenal sebagai noPac.

Kedua kerentanan lama tersebut dapat dimanfaatkan untuk meningkatkan hak akses dalam lingkungan Active Directory yang belum diamankan dengan patch yang sesuai.

3. Membuat Akun Baru dengan Hak Domain Admin

Jalur ketiga lebih langsung.

Jika PaperCut berjalan pada domain controller atau menggunakan service account dengan hak Domain Administrator, penyerang dapat membuat akun baru dan memasukkannya langsung ke grup Domain Admins.

Konfigurasi semacam ini memberikan risiko yang sangat besar karena kompromi terhadap server PaperCut dapat langsung berkembang menjadi pengambilalihan lingkungan Active Directory.

Penyerang Menggunakan DCSync untuk Mengambil Credential Domain

Terlepas dari jalur yang digunakan, para penyerang kemudian menggunakan teknik post-exploitation DCSync.

Teknik tersebut digunakan untuk memperoleh dump lengkap NTDS.DIT, database Active Directory yang menyimpan credential domain.

Dengan memperoleh data tersebut, penyerang berpotensi mendapatkan akses terhadap credential dalam jumlah besar dan memperluas kendali ke berbagai sistem lain yang menggunakan Active Directory.

Toolkit Menggabungkan Tool Populer dan Utility Buatan Sendiri

GreyNoise menemukan sejumlah tools dalam operasi tersebut, termasuk:

• Ligolo-ng
• Mimikatz
• Certipy
• BloodHound
• Rubeus
• Impacket
• NetExec
• Utility pengumpulan credential berbasis Rust yang dibuat khusus

Kombinasi berbagai tool tersebut memungkinkan penyerang melakukan reconnaissance, credential theft, privilege escalation, lateral movement, hingga pengumpulan informasi domain secara otomatis.

AI agent digunakan untuk membantu mengoordinasikan berbagai proses tersebut, sementara tool konvensional tetap menjalankan banyak aktivitas teknis di lingkungan korban.

Tujuan Akhir Serangan Belum Diketahui

GreyNoise belum dapat memastikan apa tujuan akhir dari kampanye tersebut.

Namun, akses yang berhasil diperoleh penyerang dapat digunakan untuk berbagai aktivitas lanjutan, termasuk pencurian data maupun operasi ransomware.

Dengan kemampuan memperoleh credential domain dan akses Domain Admin, dampaknya dapat jauh lebih luas dibandingkan sekadar kompromi terhadap satu server PaperCut.

Administrator Diminta Segera Memasang Patch

Administrator yang menggunakan PaperCut NG/MF disarankan segera menerapkan emergency security updates untuk mengatasi CVE-2026-81578 dan CVE-2026-82078.

Mengingat kedua kerentanan telah dikaitkan dengan eksploitasi aktif dan kini digunakan dalam kampanye otomatis berskala besar, menunda pembaruan dapat memberikan kesempatan bagi penyerang untuk menemukan dan mengeksploitasi server yang masih rentan.

Selain memasang patch, organisasi yang menggunakan PaperCut pada lingkungan Active Directory juga perlu memperhatikan indikasi kompromi credential, aktivitas mencurigakan pada domain controller, serta akun baru yang tiba-tiba memperoleh hak istimewa.

Kasus ini memperlihatkan bagaimana penggunaan ratusan AI agent dapat mempercepat proses eksploitasi dari sekadar mencari target hingga mengambil alih infrastruktur organisasi. Jika kemampuan tersebut terus berkembang, waktu yang tersedia bagi tim keamanan untuk merespons serangan dapat menjadi semakin singkat.

Sumber: GreyNoise