Злоумышленники атаковали доступные из интернета серверы PaperCut

Кампания была направлена на доступные из интернета серверы PaperCut NG/MF. Злоумышленники использовали CVE-2026-81578, связанную с неавторизованным запросом, который раскрывал доступный только администратору компонент Tapestry, и CVE-2026-82078, уязвимость, связанную с небезопасной рефлексией JDBC. Инструментарий проводил первичную проверку безвредными запросами на чтение конфигурации, затем менял параметры PaperCut user-lookup.*, чтобы перенаправить запросы на SQL-запросы под контролем злоумышленников. В версии 26.x цепочка эксплуатации задействовала обработку INIT в H2 и выполнение Groovy. В более ранних версиях использовалась функция экспорта Apache Derby, записывавшая вредоносный класс Java в каталог установки PaperCut.

Эксплуатация PaperCut и доступ через XML-RPC

В варианте с выводом в веб-интерфейс результаты выполнения команд записывались в каталог custom/web/ и становились доступны по путям /custom/ перед самовосстановлением, то есть самоудалением. В отчёте задокументирован и второй путь удалённого выполнения кода через конечную точку XML-RPC PaperCut /rpc/api/xmlrpc. Сообщается, что при слабом контроле доступа к API или отсутствии явно настроенного токена служба могла использовать встроенный пароль администратора. Это позволяло вызывать api.setConfigValue и затем проводить эксплуатацию с помощью техники Derby.

Актор также проверил и отверг несколько других поверхностей атаки.

Действия после компрометации и признаки активности

На этапе постэксплуатации инструменты собирали учётные данные Windows и обращались к следующим данным:

• данным веток реестра SYSTEM и SECURITY;
• секретам LSA;
• хешам учётных записей машин;
• учётным данным базы данных PaperCut;
• паролям LDAP;
• секретам хранилищ ключей (keystore);
• учётным данным служебных учётных записей.

Скомпрометированные хосты использовались как точки перехода для доступа к внутренней сети. Для этого применялись Java-мосты, обратные TCP-соединения и SOCKS5-прокси. Закрепление в системах Linux обеспечивали chisel, записи в cron, скрипты watchdog и обратные SOCKS5-соединения с инфраструктурой оператора, в том числе с прослушивателем на 127.0.0.1:1083.

Восстановленные журналы свидетельствовали об автоматизированной активности Metasploit, манипуляциях с учётными записями администраторов, изменениях политик безопасности, повышении привилегий до уровня SYSTEM и перечислении объектов Active Directory. Актор определил 1005 целей для разведки как минимум в 45 странах, зафиксировал пять интерактивных сессий и поддерживал активный доступ через обратный SOCKS5 к 45 целям. Среди артефактов упаковки были 46 доменов Active Directory, а также повторно используемые данные прокси и учётных записей.

К признакам, которые могут помочь обнаружить атаки, относятся:

• неожиданные изменения user-lookup.*;
• файлы в каталоге custom/web/;
• вредоносные файлы классов;
• механизмы закрепления с использованием chisel и cron;
• необычные исходящие TLS-соединения;
• доступ через XML-RPC;
• несанкционированное создание учётных записей;
• перечисление доменов с серверов PaperCut.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.