Un attacco sofisticato che utilizza agenti IA per sfruttare vulnerabilità critiche in PaperCut NG/MF evidenzia la crescente necessità di aggiornamenti tempestivi. Parallelamente, Microsoft rinnova il supporto per Windows Server 2025, spingendo gli utenti ad abbandonare le versioni obsolete.
Le recenti comunicazioni di Microsoft riguardo la fine del supporto mainstream per Windows Server 2022 e l'estensione del supporto per Windows Server 2025 gettano luce sull'importanza strategica di mantenere aggiornati i sistemi server. Tuttavia, un attacco informatico di nuova generazione, che sfrutta agenti basati sull'intelligenza artificiale per compromettere i server PaperCut NG/MF, sottolinea ulteriormente l'urgenza di queste pratiche di sicurezza.
Una nuova e preoccupante campagna di attacco, attribuita a un attore di minaccia di probabile origine russa, ha sfruttato centinaia di agenti IA per sfruttare vulnerabilità critiche nei server di gestione delle stampe PaperCut NG/MF. L'obiettivo era rubare credenziali Windows e stabilire un accesso persistente alle reti interne delle organizzazioni colpite. L'analisi condotta da GreyNoise ha identificato almeno 440 istanze compromesse appartenenti a 395 organizzazioni in 48 paesi, dimostrando la rapidità e l'efficacia con cui i flussi di lavoro assistiti dall'IA possono accelerare lo sfruttamento delle infrastrutture aziendali.
L'attaccante ha combinato strumenti di OpenAI e un modello DeepSeek, insieme a utility offensive disponibili pubblicamente. Le indagini hanno rivelato directory esposte contenenti script di exploit, istruzioni per agenti IA, valutazioni di vulnerabilità, collettori di credenziali e log di Metasploit. Un singolo archivio conteneva quasi 2.000 file, per un totale di circa 3.9 GB di dati, evidenziando la profondità dell'operazione.
L'analisi di Blackpoint Cyber ha documentato un flusso di lavoro di sviluppo iterativo negli strumenti esposti, con file di stato che registravano fallimenti, modifiche al codice e decisioni di ritentativo. L'IA non si è limitata a generare exploit isolati, ma ha facilitato un ciclo operativo continuo che comprendeva ricerca, debug, classificazione dei target ed esecuzione ripetuta.
La catena di attacco principale si è basata su due vulnerabilità: CVE-2026-81578, un bypass dell'autenticazione con un punteggio CVSS di 8.8, e CVE-2026-82078, una vulnerabilità di caricamento dinamico di classi non sicuro valutata 9.4. Insieme, queste falle hanno permesso la manipolazione non autenticata della configurazione e l'esecuzione di codice arbitrario all'interno del processo di servizio di PaperCut.
La campagna è stata notevolmente rapida: il progresso da uno spazio di lavoro vuoto all'esecuzione remota di codice nel mondo reale è avvenuto in meno di quattro ore. In un'ondata successiva, l'attaccante ha compromesso 11 organizzazioni in soli 26 secondi. Gli script recuperati modificavano le impostazioni di ricerca degli utenti esterni e selezionavano le tecniche di esecuzione in base alla versione installata di PaperCut. Le versioni 26.x sono state prese di mira tramite esecuzione basata su H2/Groovy, mentre versioni precedenti sono state attaccate attraverso meccanismi Apache Derby.
È stata osservata anche una variante che recuperava l'output dei comandi tramite file temporanei, evitando la dipendenza da callback in uscita. La ricerca ha inoltre descritto un percorso di attacco XML-RPC indipendente, che in presenza di controlli di rete o autenticazione API deboli, poteva consentire l'esecuzione senza il bypass iniziale.
Dopo aver ottenuto l'accesso, gli strumenti di post-sfruttamento hanno raccolto dati del registro di Windows (SECURITY e SYSTEM) per consentire il recupero offline dei segreti degli account macchina. Altri script cercavano password di bind LDAP, credenziali di database e segreti di account di servizio nei file di configurazione e nei log. Strumenti di reverse SOCKS hanno trasformato i server compromessi in pivot per la rete interna, mentre le distribuzioni Linux utilizzavano chisel e cron per la persistenza.
L'attaccante ha impacchettato credenziali, informazioni sul dominio e configurazioni proxy in archivi specifici per le vittime. Secondo gli artefatti recuperati, 45 target presentavano pivot reverse SOCKS5 funzionanti al momento della cattura. Log di Metasploit separati indicavano 2.165 tentativi e cinque sessioni interattive confermate.
GreyNoise ha documentato accessi da amministratore di dominio in 12 organizzazioni e la raccolta di credenziali da 280 istanze interessate. I ricercatori hanno sottolineato che le pratiche di hardening convenzionali, come l'uso di un web application firewall, hanno interrotto gli attacchi in alcuni casi.
Questo attacco evidenzia l'importanza critica di applicare tempestivamente le patch di sicurezza. PaperCut ha rilasciato bollettini di sicurezza che identificano le versioni NG/MF 26.0.5, 25.0.13 e 24.1.10 come release di manutenzione che sostituiscono le patch di emergenza.
Parallelamente, Microsoft continua a spingere gli utenti verso le versioni più recenti dei propri sistemi operativi. La fine del supporto mainstream per Windows Server 2022 il 13 ottobre 2026, con il passaggio al supporto esteso fino a ottobre 2031, richiede una pianificazione strategica. Le organizzazioni sono incoraggiate a migrare a Windows Server 2025, la cui versione LTSC beneficerà del supporto mainstream fino a novembre 2029 e del supporto esteso fino a novembre 2034. La funzionalità di hotpatching per le edizioni Datacenter: Azure Edition di Windows Server 2022 è stata estesa fino a ottobre 2027, offrendo un margine aggiuntivo per le implementazioni cloud.
Anche per gli utenti desktop, Microsoft sta spingendo verso l'aggiornamento. La fine degli aggiornamenti preview per Windows 11 24H2 (Home e Pro) invita gli utenti a passare a Windows 11 26H2. Queste azioni strategiche da parte di Microsoft mirano a garantire che gli ambienti IT rimangano protetti dalle minacce più recenti e beneficino delle ultime funzionalità, ritirando gradualmente il supporto per le edizioni più datate e vulnerabili.
Per difendersi da minacce come quella che ha colpito PaperCut, si raccomanda di:
In caso di sospetto compromesso, è necessario un intervento di risposta agli incidenti più ampio, che includa la revisione delle credenziali e la ricostruzione pulita dei sistemi, piuttosto che la semplice installazione di un aggiornamento.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
