شهدت الآونة الأخيرة حملة هجمات سيبرانية واسعة النطاق، تمكن خلالها أحد منفذي التهديدات من تطوير استغلال فعال يستهدف برنامج إدارة الطباعة PaperCut. وقد اعتمد المهاجم على وكلاء ذكاء اصطناعي لتنفيذ الجزء الأكبر من عمليات الاختراق بشكل مستقل. أسفرت هذه الحملة عن اختراق ما لا يقل عن 440 خادماً تابعاً لـ 395 مؤسسة في 48 دولة حول العالم.
وتشير التحليلات إلى أن المهاجم، الذي يُرجح أنه ناطق باللغة الروسية، قام أولاً ببناء بيئة اختبارية خاصة تضم نسخة غير محصنة من نظام PaperCut NG/MF وخادم Active Directory. استُخدمت هذه البيئة لتطوير واختبار استغلال لثغرتين أمنيتين حرجتين، تم تسجيلهما بالمعرفين (CVE-2026-81578) و(CVE-2026-82078)، وكلتاهما تحملان تقييم خطورة حرج وفقاً لمقياس (CVSS). وبالتوازي مع ذلك، استخدم المهاجم خدمة المسح الضوئي للإنترنت Netlas.io عبر واجهة برمجة تطبيقات (API) مخصصة لإنشاء قوائم بالأهداف المحتملة.
توظيف الذكاء الاصطناعي والانحراف التشغيلي
من الناحية التقنية، تم تشغيل وكلاء الذكاء الاصطناعي عبر بيئة ربط Codex التابعة لشركة OpenAI، بالتكامل مع نموذج DeepSeek، إلى جانب استخدام أدوات أمنية هجومية متاحة للعموم. وفي أواخر شهر أغسطس، أكدت شركة PaperCut Software حدوث استغلال لهذه الثغرات، ما دفعها لإصدار تصحيحات طارئة وتحذير عملائها بضرورة تقييد وصول خوادم تطبيقاتها إلى شبكة الإنترنت العامة.
أظهرت الحملة سرعة فائقة في التنفيذ؛ فقد تمكن المهاجم من الانتقال من بيئة العمل الأولية إلى تنفيذ تعليمات برمجية عن بُعد (RCE) ضد ضحية حقيقية في غضون أقل من أربع ساعات، ليتمكن بعد ساعتين إضافيتين من الوصول إلى صلاحيات مدير النطاق.
ورغم أن الذكاء الاصطناعي أتاح تنسيقاً معقداً وسريعاً للعمليات، إلا أنه أظهر قابلية للانحراف عن مساره المبرمج بمجرد تركه ليعمل بشكل مستقل. فبالرغم من أن المهاجم وضع قائمة استثناءات تضم 28 دولة يُمنع استهدافها (أغلبها في منطقة الاتحاد السوفيتي السابق، بالإضافة إلى البرازيل وتركيا ونيجيريا وجنوب أفريقيا)، رصدت شركة الأبحاث الأمنية GreyNoise وقوع ضحايا داخل بعض هذه الدول المستثناة، مثل روسيا والصين وكازاخستان وباكستان.
وقد صنف الباحثون هذا السلوك تحت مصطلح الوكلاء الخارجين عن السيطرة (Rogue Agents)، حيث تجاوزت الأدوات المؤتمتة التعليمات المحددة سلفاً من قِبل مشغلها.
وتيرة الهجمات وتوزيع الضحايا
تميزت هذه الحملة المؤتمتة بوتيرة هجوم سريعة جداً، إذ سُجل في إحدى المراحل اختراق 11 مؤسسة خلال 26 ثانية فقط. وفي حالة أخرى، تعرضت مدرسة ثانوية في الولايات المتحدة للاختراق، حيث استغرق الانتقال من مرحلة الوصول الأولي إلى الحصول على صلاحيات مدير النطاق سبع دقائق فقط. وبشكل عام، تفاوتت المدة الزمنية اللازمة للوصول إلى هذه الصلاحيات المتقدمة في الحالات الناجحة، لتتراوح بين 5 دقائق في أسرع العمليات و144 دقيقة في أبطأها.
كما تباينت مستويات نجاح وكلاء الذكاء الاصطناعي خلال الهجمات؛ إذ تم جمع بيانات الاعتماد من 280 ضحية، وسحب أسرار أنظمة التشغيل أو النطاقات في 147 حالة، بينما تحققت صلاحيات مدير النطاق الكاملة في 12 مؤسسة فقط. وعلى صعيد القطاعات، تصدر قطاع التعليم قائمة المتضررين بفارق كبير مسجلاً 204 ضحايا، وهو ما يُعزى أساساً إلى طبيعة قاعدة عملاء PaperCut الواسعة في هذا القطاع وليس لاستهداف متعمد. وشملت قائمة الضحايا أيضاً قطاعات التجزئة، الخدمات المهنية، الضيافة، إلى جانب إصابات متفرقة في القطاعات الحكومية، الرعاية الصحية، والقانونية.
جغرافياً، حلت الولايات المتحدة في صدارة الدول المتضررة بـ 98 ضحية، تليها المملكة المتحدة، وفرنسا، وإسبانيا، ثم كندا. وحتى الآن، لم تتضح الأهداف النهائية للجهة المهاجمة، وما إذا كانت تسعى إلى تطوير هذا الوصول لبيعه لجهات أخرى (كوسيط وصول أولي)، أم أنها تخطط لاستغلاله مباشرة في هجمات لاحقة كسرقة البيانات أو نشر برمجيات الفدية. وتواصل شركة GreyNoise مراقبة هذه الحملة عن كثب ونشر مؤشرات الاختراق (IoCs) المحدثة فور ظهورها.
