Hunderte KI-Agenten machten aus zwei PaperCut-Schwachstellen einen sich rasch ausweitenden globalen Angriff.
GreyNoise stellte fest, dass die Kampagne mindestens 440 PaperCut-NG/MF-Instanzen in 48 Ländern kompromittiert hatte. Fast die Hälfte war Bildungseinrichtungen zuzuordnen; in diesem Bereich wurden 204 Systeme kompromittiert.
Diese Größenordnung erreichten die Angreifer erst, nachdem sie den Angriff zunächst entwickelt hatten. Die Spuren der Kampagne zeigen einen erprobten Ablauf, der von der Vorbereitung über die Ausnutzung in der Praxis bis zur Ausbreitung über mehrere Umgebungen innerhalb von Sekunden reicht.
Angreifer testeten den Angriff, bevor sie ihn skalierten
Die Operation wurde von GreyNoise mit einem wahrscheinlich russischsprachigen Bedrohungsakteur in Verbindung gebracht. Die Forscher stellten fest, dass der Betreiber ein Labor mit verwundbarer PaperCut-Software und Active Directory aufgebaut hatte, bevor er reale Systeme angriff.
Die Arbeit in der Testumgebung ermöglichte es dem Akteur, den Ausnutzungsprozess zu entwickeln und dessen Funktionsfähigkeit zu überprüfen. Potenzielle Opfer wurden später mithilfe des Internet-Scanning-Dienstes Netlas zusammengestellt.
Nach den Tests führte der Betreiber den Ablauf über den mit einem DeepSeek-Modell kombinierten Codex-Harness von OpenAI aus. Den Agenten standen außerdem etablierte Tools für offensive Sicherheit zur Verfügung, wobei die Forscher darauf hinwiesen, dass nicht jedes Tool aus der Sammlung des Akteurs nachweislich eingesetzt wurde.
Die Forscher beobachteten, wie sich die Operation innerhalb von weniger als vier Stunden von einem leeren Arbeitsbereich bis zur Remote-Codeausführung auf einem realen System entwickelte. Sobald die Kampagne in großem Maßstab lief, wurden innerhalb von 26 Sekunden 11 Organisationen kompromittiert. Die Automatisierung ermöglichte es dem Angreifer, einen vorbereiteten Angriff mit sehr wenig Zeit zwischen den einzelnen Kompromittierungen in mehreren Umgebungen zu wiederholen.
Kompromittierte PaperCut-Server legten Zugangsdaten und Domänengeheimnisse offen
Die Aktivitäten nach der Kompromittierung unterschieden sich zwischen den Opfern erheblich. Einige Angriffe endeten mit dem Zugriff auf den PaperCut-Server, während andere Zugangsdaten und höherwertige Bereiche der Windows-Umgebung erreichten.
- Bei 280 kompromittierten Instanzen wurde das Abgreifen von Zugangsdaten beobachtet.
- Bei 147 Instanzen wurden Geheimnisse des Betriebssystems oder der Domäne abgerufen.
- In 12 Umgebungen wurde der bestätigte Zugriff auf Domänenadministratoren erreicht.
Eine US-amerikanische Highschool gelangte innerhalb von sieben Minuten vom ersten Zugriff bis zum Domänenadministrator. PaperCut-Server können mit weitreichenden Windows-Berechtigungen ausgeführt werden und eine Verbindung zu Active Directory herstellen, wodurch sich Möglichkeiten zur Rechteausweitung nach einem erfolgreichen Einbruch ergeben.
In einigen Umgebungen erlangten die Angreifer Windows-Zugangsdaten zurück, in anderen nutzten sie schwache oder übermäßig privilegierte Konfigurationen aus. Eine erfolgreiche Rechteausweitung konnte Zugangsdaten offenlegen, die Kontrolle über deutlich größere Teile eines Netzwerks ermöglichten.
Vorhandene Schutzmaßnahmen unterbrachen zumindest einen Teil der Aktivitäten. GreyNoise beobachtete, wie eine Cloudflare-Web Application Firewall einen Ausnutzungsversuch blockierte. Die Forscher konnten nicht feststellen, wie der Akteur die kompromittierten Umgebungen letztlich nutzen wollte; mögliche Folgeaktivitäten bleiben daher ungeklärt.
IT-Teams im Bildungsbereich sollten über den PaperCut-Server hinaus ermitteln
Wenn Sie PaperCut für eine Schule oder Universität verwalten, sollte die Installation der fehlerbereinigten Version nicht der letzte Schritt sein, falls der Server während des Angriffszeitraums exponiert war. Ein gepatchtes System muss möglicherweise weiterhin auf einen früheren Zugriff untersucht werden, insbesondere wenn der Server Windows-Zugangsdaten oder Active Directory erreichen konnte.
PaperCut führt die Wartungsreleases 26.0.5, 25.0.13 und 24.1.10 als Versionen auf, die die früheren Notfall-Patches ersetzten. Das Unternehmen rät Organisationen außerdem, deren Application Server kompromittiert wurde, diesen aus einem sauberen Backup neu aufzubauen und die üblichen Verfahren zur Reaktion auf Sicherheitsvorfälle zu befolgen.
IT-Teams im Bildungsbereich, die für exponierte Systeme verantwortlich sind, sollten nach Belegen dafür suchen, dass die Aktivitäten über die Anwendung hinausgingen.
- Überprüfen Sie PaperCut-Logs und Telemetriedaten der Endgeräte aus dem Zeitraum, in dem der Server exponiert war. Auch fehlende oder unerwartet veränderte Logs sollten untersucht werden.
- Suchen Sie nach unerwarteten Konten, Änderungen der Gruppenmitgliedschaften oder anderen Anzeichen einer Kompromittierung von Active Directory.
- Ermitteln Sie privilegierte Zugangsdaten, die vom PaperCut-Server verwendet werden oder von dort aus zugänglich sind, und ändern Sie sie, wenn eine Offenlegung nicht ausgeschlossen werden kann.
- Erweitern Sie den Incident-Response-Prozess wenn die Ermittler Zugriffe auf Zugangsdaten oder eine Rechteausweitung feststellen.
Das Patchen schließt die bekannten Schwachstellen. Es zeigt jedoch nicht, ob ein früherer Zugriff Zugangsdaten oder andere Systeme erreicht hat. Betroffene IT-Teams im Bildungsbereich sollten daher das Ausmaß einer möglichen Kompromittierung feststellen, bevor sie den Vorfall abschließen.
Weitere Cybersicherheitsnachrichten: NSA, FBI und CISA berichten, dass Milliarden von Tokens aus Claude, GPT, Gemini und Grok durch koordinierte Destillierungskampagnen extrahiert wurden.