Wprowadzenie do problemu
PaperCut to popularna platforma do zarządzania drukiem, szeroko stosowana w szkołach, uczelniach, administracji i firmach. Najnowsze incydenty pokazują jednak, że tego typu systemy mogą stać się wygodnym punktem wejścia do sieci organizacji, zwłaszcza gdy łączą w sobie podatności umożliwiające obejście uwierzytelniania oraz zdalne wykonanie kodu.
W praktyce oznacza to możliwość przejęcia kontroli nad serwerem, uruchamiania poleceń systemowych, kradzieży poświadczeń i dalszego przemieszczania się po infrastrukturze. Dla sektora edukacyjnego, który często działa w środowiskach o ograniczonych zasobach bezpieczeństwa, ryzyko jest szczególnie wysokie.
W skrócie
Atakujący aktywnie wykorzystywali nowe luki w oprogramowaniu PaperCut przeciwko szkołom i innym podmiotom edukacyjnym w Stanach Zjednoczonych oraz Europie. Scenariusz ataku zakładał połączenie podatności typu authentication bypass z mechanizmem zdalnego wykonywania poleceń.
- napastnicy uzyskiwali dostęp do serwera PaperCut bez standardowego procesu logowania,
- po kompromitacji prowadzili rekonesans środowiska i hosta,
- tworzyli uprzywilejowane konta w celu utrwalenia dostępu,
- pobierali narzędzia do pozyskiwania poświadczeń i dalszej eksploatacji,
- analizowali pliki konfiguracyjne w poszukiwaniu haseł, sekretów i ustawień LDAP.
Kontekst i historia
PaperCut już wcześniej pojawiał się w analizach incydentów jako element wykorzystywany w kampaniach cyberprzestępczych, w tym operacjach prowadzących do wdrożenia ransomware. Z tego powodu każda nowa krytyczna luka w tym produkcie automatycznie zwiększa poziom zagrożenia dla organizacji, które utrzymują publicznie dostępne interfejsy administracyjne lub z opóźnieniem wdrażają poprawki.
W opisywanej kampanii szczególnie istotne było tempo działania atakujących. Między ujawnieniem podatności a pierwszymi przypadkami realnej eksploatacji upłynęło niewiele czasu. To potwierdza, że systemy wspierające, takie jak infrastruktura druku, są stale monitorowane przez przestępców pod kątem nowych możliwości wejścia do środowiska ofiary.
Analiza techniczna
Ataki opierały się na wykorzystaniu podatności oznaczonych jako CVE-2026-81578 oraz CVE-2026-82078. Najgroźniejszy był scenariusz łańcuchowy, w którym najpierw dochodziło do obejścia mechanizmu uwierzytelniania, a następnie do zdalnego wykonania kodu na serwerze PaperCut. Taka kombinacja znacząco skraca czas potrzebny na przejście od wykrycia podatnej usługi do pełnej kompromitacji hosta.
Po uzyskaniu dostępu napastnicy wykonywali polecenia służące do rekonesansu, w tym sprawdzanie użytkownika, procesów, wersji systemu i nazwy hosta. Następnie obserwowano tworzenie uprzywilejowanego konta o nazwie „Administrator17”, co mogło służyć zarówno utrwaleniu dostępu, jak i ułatwieniu dalszych działań w sieci.
W dalszym etapie kampanii wykorzystywano narzędzia systemowe, takie jak certutil, do pobierania dodatkowych komponentów. Analiza wskazywała również na użycie ładunków Java powiązanych z Meterpreterem, co sugeruje próbę ustanowienia interaktywnej sesji zdalnej oraz elastycznego wdrażania kolejnych narzędzi ofensywnych bez konieczności natychmiastowego uruchamiania bardziej rozbudowanego malware.
Atakujący przeszukiwali też pliki konfiguracyjne PaperCut w celu odnalezienia poświadczeń, sekretów, tokenów oraz parametrów integracji z LDAP. To szczególnie niebezpieczne, ponieważ systemy zarządzania drukiem bywają połączone z centralną infrastrukturą katalogową, a wyciek takich danych może prowadzić do eskalacji uprawnień poza samą aplikacją.
W analizowanych śladach aktywności pojawiło się również narzędzie lsa_collect.exe, którego użycie wiązano z próbą pozyskania danych potrzebnych do odzyskania Windows BootKey. Może to stanowić etap przygotowawczy do dostępu do bazy SAM i odzyskiwania lokalnych poświadczeń. Z perspektywy obrońcy jest to sygnał, że incydent wykraczał poza prostą kompromitację aplikacji i zmierzał w kierunku głębszego przejęcia systemu operacyjnego.
Dodatkowe wskaźniki aktywności obejmowały pliki o krótkich, pięcioznakowych nazwach z rozszerzeniami .class, .cmd lub .out, uruchamianie cmd.exe i powershell.exe przez proces pc-app.exe, a także nietypowe żądania do niestandardowych ścieżek oraz większe transfery realizowane przez klienta python-requests.
Konsekwencje i ryzyko
Ryzyko wynikające z takich incydentów jest wielopoziomowe. Na pierwszym etapie dochodzi do przejęcia serwera PaperCut i uzyskania możliwości wykonywania poleceń w systemie operacyjnym. Następnie napastnik może przejść do kradzieży poświadczeń lokalnych i aplikacyjnych, a w dalszej kolejności do kompromitacji usług katalogowych, kont uprzywilejowanych i innych krytycznych zasobów.
Dla placówek edukacyjnych oznacza to realne zagrożenie zakłóceniem pracy infrastruktury IT, niedostępnością usług dla uczniów i pracowników, ryzykiem naruszenia danych osobowych oraz wzrostem kosztów reagowania na incydent. W środowiskach o słabej segmentacji sieci nawet pozornie drugorzędna usługa może stać się początkiem szerokiej kompromitacji.
Rekomendacje
Najważniejszym krokiem powinno być niezwłoczne wdrożenie poprawek bezpieczeństwa udostępnionych przez producenta. Organizacje powinny również sprawdzić, czy interfejsy administracyjne PaperCut nie są wystawione bezpośrednio do Internetu. Jeśli zdalny dostęp jest niezbędny, powinien być realizowany przez kontrolowane kanały z dodatkowymi zabezpieczeniami.
- przeanalizować logi server.log pod kątem znanych wskaźników eksploatacji,
- zweryfikować, czy proces pc-app.exe nie uruchamiał powłok systemowych,
- sprawdzić obecność poleceń rekonesansowych i nietypowych kont administracyjnych,
- skontrolować użycie certutil, powershell.exe oraz artefaktów związanych z ładunkami Java,
- wymusić rotację poświadczeń, jeśli istnieje ryzyko ujawnienia danych integracyjnych,
- ograniczyć uprawnienia usługi PaperCut do absolutnego minimum,
- wdrożyć monitoring EDR na serwerach druku i systemach pomocniczych,
- blokować nieautoryzowany ruch wychodzący z serwerów aplikacyjnych,
- regularnie testować procedury reagowania na incydenty dla systemów wspierających.
Podsumowanie
Wykorzystanie luk w PaperCut przeciwko szkołom w USA i Europie pokazuje, że systemy zarządzania drukiem nadal stanowią atrakcyjny wektor wejścia do sieci organizacji. Połączenie obejścia uwierzytelniania z możliwością zdalnego wykonania kodu daje napastnikom szybki dostęp do hosta, a następnie do poświadczeń, konfiguracji i potencjalnie całej infrastruktury.
Dla organizacji edukacyjnych kluczowe znaczenie mają szybkie aktualizacje, ograniczanie ekspozycji usług, monitoring aktywności post-exploitation i dokładna analiza logów. Bezpieczeństwo systemów pomocniczych nie powinno być traktowane jako priorytet drugiej kategorii, ponieważ to właśnie one coraz częściej stają się początkiem poważnych incydentów.