In questo articolo Indice dei contenuti 2 sezioni
Una campagna di attacchi condotta quasi interamente da agenti di intelligenza artificiale ha colpito i server PaperCut NG/MF esposti online, compromettendo almeno 440 istanze riconducibili a 395 organizzazioni in 48 Paesi. Dietro l’operazione ci sarebbe un attore malevolo probabilmente di lingua russa, che ha messo al lavoro centinaia di agenti automatizzati per costruire, testare e affinare gli exploit di due falle nel popolare software di gestione della stampa.
Le vulnerabilità sfruttate sono CVE-2026-81578 e CVE-2026-82078, entrambe segnalate come attivamente sfruttate nei primi giorni di questo mese. La campagna, secondo l’azienda di threat intelligence GreyNoise, è partita il 31 agosto e ha mescolato modelli commerciali di intelligenza artificiale, nello specifico Codex di OpenAI e DeepSeek, con strumenti offensivi già noti e facilmente reperibili. Gli stessi agenti hanno compilato le liste di bersagli appoggiandosi alla piattaforma di scansione Netlas.
Numeri, tempi e vittime della campagna PaperCut
Il bilancio raccolto dai ricercatori è pesante. Credenziali sottratte a 280 vittime, segreti di sistema operativo o di dominio recuperati in 147 casi, privilegi di amministratore ottenuti in 12 organizzazioni. Circa la metà delle violazioni riguarda il settore dell’istruzione, con gli Stati Uniti in cima alla lista dei Paesi più colpiti, seguiti da Regno Unito, Francia, Spagna e Canada.
Curioso il dettaglio della lista nera geografica. L’attaccante aveva istruito gli agenti a evitare Russia, Cina, Iran, Ucraina, Bielorussia, Moldavia, Brasile e Sudafrica, ma le regole non sono state rispettate in modo coerente. Gli agenti AI, insomma, hanno fatto un po’ di testa loro.
Il punto che più preoccupa chi si occupa di difesa è la velocità. Dal foglio bianco alla prima esecuzione di codice remoto su una vittima reale sono passate poco meno di quattro ore. Altre due ore per il primo accesso da domain admin. Una volta lanciata la campagna vera e propria, 11 organizzazioni sono state compromesse in 26 secondi. In un caso, contro un liceo statunitense, il passaggio dall’accesso iniziale al controllo completo del dominio ha richiesto sette minuti. Margini di reazione praticamente inesistenti per chi sta dall’altra parte.
Le tre strade usate per prendere il controllo dei domini
Dopo aver sfruttato le falle di PaperCut, gli attaccanti hanno seguito tre percorsi distinti. Il primo prevede il dump della memoria LSASS e dei segreti del registro sui server uniti al dominio, per poi riutilizzare gli hash recuperati contro i controller di dominio con la tecnica del pass the hash. Il secondo è l’attacco noPac, efficace negli ambienti ancora vulnerabili a CVE-2021-42278 e CVE-2021-42287. Il terzo, il più diretto, consiste nell’aggiungere un account appena creato al gruppo Domain Admins quando PaperCut gira su un controller di dominio o sotto un account di servizio con privilegi amministrativi.
In tutti e tre gli scenari è stata poi usata la tecnica di post sfruttamento DCSync per ottenere un dump completo di NTDS.DIT, cioè l’intero archivio delle credenziali di dominio. L’arsenale comprende strumenti noti agli addetti ai lavori come Mimikatz, Certipy, BloodHound, Rubeus, Impacket, NetExec, oltre a utility personalizzate scritte in Rust per la raccolta di credenziali.
L’obiettivo finale della campagna resta poco chiaro. I ricercatori non sono riusciti a stabilire cosa volesse ottenere l’attore malevolo, anche se un accesso di questo tipo si presta bene sia al furto di dati sia a operazioni di ransomware.
L’indicazione per gli amministratori di sistema è di applicare subito gli aggiornamenti di emergenza rilasciati da PaperCut per CVE-2026-81578 e CVE-2026-82078, seguendo le raccomandazioni contenute nel bollettino ufficiale del produttore.
Fonte: TecnoAndroid
