Одиннадцать организаций легли за двадцать шесть секунд. В американской школе путь от первого запроса до полного контроля над доменом занял семь минут – меньше, чем уходит на перезагрузку контроллера домена, который в этой школе только что перестал быть их собственным. От пустого рабочего каталога до первого RCE на живой жертве прошло чуть меньше четырёх часов, ещё два – и в руках у оператора первый Domain Admin. Итог недели: 440 серверов PaperCut в 395 организациях сорока восьми стран.
Соблазн прочитать это как историю про новый страшный эксплойт нужно погасить сразу. Эксплойт здесь ровно один, и он не про печать: два бага в PaperCut NG/MF, сшитые в переход от неавторизованного запроса к исполнению кода. Всё, что было дальше – сбор кредов, горизонталь, дамп домена – это tradecraft, которому годы, и любой, кто читал разбор инцидента с Active Directory, узнает каждый шаг. Новое в этой кампании – не приём, а темп и охват, которые один человек вытянул, посадив на рутину сотни ИИ-агентов. И вот это как раз стоит разобрать по узлам: не потому, что ИИ в атаке – сенсация (давно уже нет), а потому, что видно, какую именно работу он снял с оператора и где эта автоматика начала жить своей жизнью.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local