Los hackers convirtieron un servidor de impresión PaperCut en una ruta al controlador de dominio

Un servidor de impresión vulnerable se convirtió en el punto de entrada para un compromiso de Active Directory después de que los atacantes explotaran dos fallas de zero-day de PaperCut MF. Los atacantes atacaron un servidor PaperCut MF orientado a Internet que ejecutaba la versión 24.0.2, compilación 69746.

Sus analistas descubrieron que los atacantes pasaron del servidor de impresión a un controlador de dominio en menos de dos días. Sigue a los informes de que las fallas de PaperCut se explotaron activamente, y se advirtió a los defensores que restringieran el acceso público y vigilaran las actividades sospechosas del servicio. Los hackers convirtieron un servidor de impresión PaperCut El compromiso inicial se basó en CVE-2026-81578 y CVE-2026-82078, un par de vulnerabilidades que se pueden encadenar para alterar la configuración sin autenticación y ejecutar bytecode Java malicioso en el contexto de seguridad del servidor PaperCut. La cobertura anterior de las fallas de PaperCut explotadas activamente explica por qué los servidores de aplicaciones orientados a Internet necesitan atención urgente.

Luego, los operadores regresaron para realizar actividades prácticas, ilustrando cómo los atacantes usan marcos de ataque de comando y control de código abierto para expandir el acceso después de violar un servidor vulnerable. En el controlador de dominio, los atacantes volcaron las credenciales de la memoria y del registro.

Consultar publicación original ↗