AI 기반 공격, PaperCut 취약점 악용해 395개 조직 침해

한 줄 요약

러시아어권으로 추정되는 공격자가 수백 개의 AI 에이전트를 활용해 인쇄 관리 소프트웨어인 PaperCut NG/MF의 취약점(CVE-2026-81578, CVE-2026-82078)을 자동으로 개발·테스트하고 실제 공격에 사용했습니다. 이 캠페인으로 48개국 395개 조직의 서버 440대 이상이 침해되었으며, 피해 조직의 절반가량이 교육 기관이었습니다. AI 덕분에 공격 속도가 극도로 빨라져, 첫 RCE(원격에서 시스템을 마음대로 실행할 수 있는 공격) 성공까지 약 4시간, 도메인 관리자 권한 탈취까지 추가 2시간밖에 걸리지 않았으며, 미국 한 고등학교에서는 최초 침입부터 도메인 장악까지 단 7분이 소요되었습니다. PaperCut을 사용하는 조직은 두 CVE에 대한 긴급 보안 패치를 즉시 적용해야 합니다.

사건

AI 에이전트 수백 개를 동원해 PaperCut NG/MF의 CVE-2026-81578(인증 누락)·CVE-2026-82078(안전하지 않은 리플렉션) 취약점을 자동 개발·실행한 대규모 글로벌 공격 캠페인. 48개국 395개 조직, 440대 이상의 서버 침해.

영향

280개 조직에서 자격증명 탈취, 147개에서 OS·도메인 비밀 획득, 12개 조직에서 관리자 권한 완전 장악. 데이터 유출 또는 랜섬웨어로 이어질 가능성 높음.

원인

패치되지 않은 PaperCut NG/MF 취약점(CISA KEV 등재)과 AI를 통한 공격 자동화의 결합. OpenAI Codex·DeepSeek 모델로 공격 코드를 자동 생성·개선하고 Netlas로 타깃 목록을 자동 수집했음.

대응

PaperCut 긴급 보안 업데이트 즉시 적용. CVE-2026-81578·CVE-2026-82078은 CISA KEV 등재 취약점으로 신속한 패치가 필수. 벤더 공지 권고 사항 병행 이행.

실무 포인트

AI 기반 공격은 탐지·대응 여유 시간을 극단적으로 단축시킴(초기 접근→도메인 장악 7분 사례 존재). PaperCut 서버를 도메인 컨트롤러 또는 도메인 관리자 계정으로 실행하지 않도록 최소 권한 원칙을 적용하고, LSASS·DCSync 방어 통제 점검 필요.

본문

러시아어권으로 추정되는 위협 행위자가 수백 개의 AI 에이전트를 활용해 취약한 PaperCut NG/MF 서버를 대상으로 한 글로벌 익스플로잇 캠페인을 개발하고 실행했습니다.

에이전트들은 CVE-2026-81578과 CVE-2026-82078에 대한 익스플로잇을 구축·테스트·개선하는 임무를 맡았습니다. 두 취약점은 모두 PaperCut Software에 영향을 미치며 이달 초 실제 악용이 확인된 보안 결함입니다.

공격 및 위협 인텔리전스 기업 GreyNoise에 따르면, 이 캠페인은 8월 31일 시작되었으며 OpenAI의 Codex와 DeepSeek 모델을 범용 공격 도구와 결합했습니다.

AI 에이전트들은 인터넷 스캐닝·탐색 플랫폼인 Netlas를 통해 공격 대상 목록도 자동으로 생성했습니다.

GreyNoise 데이터에 따르면 이 작전으로 48개국 395개 개별 조직과 연관된 PaperCut 인스턴스 440대 이상이 침해되었습니다.

공격자는 280명의 피해자로부터 자격증명을 수집했고, 147개 조직에서 운영 체제 또는 도메인 비밀을 획득했으며, 12개 조직에서 관리자 권한을 손에 넣었습니다.

피해 조직의 대다수는 교육 분야였으며, 전체 침해 사례의 약 절반을 차지했습니다. 가장 많이 표적이 된 국가는 미국이었고, 영국·프랑스·스페인·캐나다가 뒤를 이었습니다.

GreyNoise에 따르면 위협 행위자는 러시아·중국·이란·우크라이나·벨라루스·몰도바·브라질·남아프리카공화국 등 회피할 국가 목록을 지정했습니다. 그러나 에이전트들이 이 규칙을 일관되게 따르지는 않았습니다.

GreyNoise는 AI가 공격자로 하여금 방어 측에 매우 촉박한 대응 시간만을 남기는 신속한 공격을 감행할 수 있게 한다고 강조합니다.

"공격자는 빈 작업 환경에서 시작해 실제 피해자를 상대로 처음 RCE(원격 코드 실행)를 달성하기까지 불과 4시간이 채 걸리지 않았고, 첫 도메인 관리자 권한 탈취에 추가 2시간, 전면 캠페인이 가동된 이후에는 26초 만에 최소 11개 조직을 침해했습니다." — GreyNoise

"한 사례에서는 공격자가 미국의 한 고등학교를 상대로 최초 접근부터 전체 도메인 관리자 권한 탈취까지 단 7분 만에 완료했습니다."

공격 타임라인

출처: GreyNoise

연구진은 PaperCut 취약점 익스플로잇 이후 세 가지 공격 경로를 관찰했습니다:

도메인에 가입된 PaperCut 서버에서 LSASS 메모리와 레지스트리 비밀을 덤프한 뒤, 복구된 자격증명 해시를 도메인 컨트롤러에 전달하는 "패스-더-해시(pass-the-hash)" 공격.
CVE-2021-42278과 CVE-2021-42287에 여전히 취약한 환경을 대상으로 "noPac" 공격 사용.
PaperCut이 도메인 컨트롤러에서 실행되거나 도메인 관리자 서비스 계정 하에서 동작하는 경우, 새로 생성한 계정을 Domain Admins에 직접 추가.

모든 경우에서 공격자들은 DCSync 사후 익스플로잇 기법을 사용해 도메인 자격증명이 담긴 NTDS.DIT 전체 덤프를 획득했습니다.

공격자의 툴킷에는 Ligolo-ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket, NetExec, 그리고 Rust로 제작된 커스텀 자격증명 수집 유틸리티가 포함됩니다.

GreyNoise는 공격자의 캠페인 목표를 확인하지 못했지만, 획득한 접근 권한은 데이터 절취 또는 랜섬웨어 작전에 활용될 수 있습니다.

시스템 관리자는 CVE-2026-81578과 CVE-2026-82078을 해결하는 PaperCut 긴급 보안 업데이트를 즉시 적용하고, 해당 공지의 벤더 권고 사항을 따를 것을 권고받고 있습니다.