Agentes de IA exploram falhas no PaperCut e atingem 395 empresas
Segundo a GreyNoise, agentes de IA exploraram falhas do PaperCut NG/MF e comprometeram 440 instâncias em 395 organizações de 48 países.
Pontos principais
- Ataques exploraram as vulnerabilidades CVE-2026-81578 e CVE-2026-82078 no software de gerenciamento de impressão PaperCut NG/MF.
- A GreyNoise contou 440 instâncias comprometidas em 395 organizações de 48 países; os Estados Unidos somaram 98 vítimas, e o Reino Unido, 59.
- O setor educacional foi o mais atingido, com 204 vítimas, o que a GreyNoise atribui mais à base de clientes do PaperCut do que a um alvo escolhido.
- Segundo a GreyNoise, passaram-se menos de quatro horas entre o workspace vazio e a primeira execução remota de código em uma vítima real, e mais duas até o primeiro administrador de domínio.
- Após o lançamento em 1º de setembro, 11 organizações foram comprometidas em 26 segundos.
- O atacante listou 28 países para evitar, mas cinco organizações no Brasil foram atingidas, além de uma na China, uma no Cazaquistão e uma no Paquistão.
- Em 12 organizações o atacante chegou a administrador de domínio, entre cinco e 144 minutos após o acesso inicial; em uma escola de ensino médio dos EUA, levou sete minutos.
- Em todos os caminhos de ataque ao domínio, o atacante usou DCSync para gerar um NTDS.DIT completo com as credenciais da organização.
Uma campanha automatizada usou agentes de inteligência artificial para explorar falhas no PaperCut NG/MF, software de gestão de impressão. Segundo a GreyNoise, um ator de ameaça provavelmente falante de russo desenvolveu e testou os exploits a partir de 31 de agosto de 2026, depois que a PaperCut Software publicou o aviso de segurança, em 27 de agosto. A primeira vítima real estava na Austrália; a campanha em massa começou em 1º de setembro, com agentes rodando no harness Codex, da OpenAI, e um modelo DeepSeek (não da OpenAI).
Segundo a GreyNoise, a IA permite orquestrar operações complexas com rapidez, mas sem restrições adequadas os agentes podem fugir do comportamento esperado. A restrição geográfica do atacante falhou em alguns casos, e a GreyNoise não sabe por que os agentes se desviaram. Também não se sabe se o ator repassará os acessos a outros grupos ou os usará para roubo de dados ou ransomware, embora invasões anteriores por meio do PaperCut tenham levado a extorsão.
A PaperCut Software recomenda aplicar as correções de emergência e restringir o acesso aos servidores de aplicação a partir da internet pública. A GreyNoise lembra que a proteção tradicional ainda importa: em ao menos um caso, o WAF da Cloudflare barrou o atacante.
Fonte primária
Cobertura da mídia
Comentários (0)
Seja o primeiro a comentar.