GreyNoise פרסמה תיאור של קמפיין שכדאי לקרוא בעיון, כי החלק המעניין בו אינו הפרצה עצמה, אלא הקצב.
מה קרה
תוקף בודד, המוערך כדובר רוסית, ניצל שתי חולשות בתוכנת ניהול ההדפסה PaperCut NG/MF, המתועדות כ-CVE-2026-81578 ו-CVE-2026-82078. התוצאה הייתה לפחות 440 מערכות שנפרצו ב-395 ארגונים ב-48 מדינות.
התוקף הקים תחילה מעבדה פרטית עם עותק פגיע של PaperCut ושרת Active Directory, ופיתח ובדק שם את הניצולים. הסוכנים פעלו על גבי מסגרת Codex של OpenAI בשילוב מודל של DeepSeek, לצד כלי תקיפה פוגענית זמינים לציבור.
המהירות היא הסיפור
המעבר מסביבת עבודה ריקה להרצת קוד מרחוק נגד קורבן אמיתי ארך פחות מארבע שעות. הרשאת מנהל דומיין (domain admin) ראשונה הושגה שעתיים לאחר מכן. לאחר שהקמפיין יצא לדרך במלואו, אחד עשר ארגונים נפרצו תוך 26 שניות.
פרטי התחברות נאספו מ-280 קורבנות. סודות של מערכת ההפעלה או הדומיין הושגו מ-147. הרשאות מנהל הושגו ב-12 ארגונים.
מי נפגע
תחום החינוך הוביל עם 204 קורבנות, הרבה לפני קמעונאות, שירותים מקצועיים ואירוח, כאשר ארגוני ממשל, בריאות ומשפט התפזרו מאחור. GreyNoise מייחסת את ההטיה הזו לבסיס הלקוחות של PaperCut ולא למיקוד מכוון — הסוכנים תקפו כל מה שהיה נגיש.
למה זה חשוב
חלונות התיקון (patch windows) תמיד היו מירוץ בין המגֵנים לתוקפים, ושני הצדדים פעלו בקצב אנושי. ההנחה הזו היא מה שקרס כאן. תוקף שמסוגל לעבור מסביבת עבודה חדשה לניצול פעיל תוך ארבע שעות, ואז לפגוע באחד עשר ארגונים בפחות מחצי דקה, דחס את החלון הזמן לכדי משהו שאף תהליך תיקון ידני לא יכול לעמוד בו.
הכלים המעורבים לא היו אקזוטיים. מסגרת קידוד, מודל במשקלים פתוחים וכלי תקיפה מדף. השילוב הזה זמין לכל אחד, וזה החלק הלא נוח.