Bildungsnetzwerke von Credential-Diebstahl durch PaperCut-Exploit-Kette betroffen

Angreifer nutzen aktiv zwei neu bekannt gewordene PaperCut-Schwachstellen aus, um Anmeldedaten von Schulen und Universitäten in den USA und Europa zu stehlen, so das Arctic Wolf Adversary Research Team. Das Sicherheitsunternehmen beobachtete die Ausnutzung von CVE-2026-81578 und CVE-2026-82078, einer Kette aus Authentifizierungs-Bypass und Remote Code Execution, die es einem Angreifer ermöglicht, normale Anmeldeprüfungen zu überspringen und dann eigene Befehle auf einem Server auszuführen. PaperCut ist eine Druckverwaltungssoftware, die von vielen Bildungseinrichtungen und Unternehmen zur Kontrolle von Drucken, Kopieren und Scannen verwendet wird.

Arctic Wolf teilte The Hacker News mit, dass die Angriffe auf anfällige PaperCut-Server im gesamten Bildungssektor abzielen, von K-12-Schulen bis zu großen Universitäten. Einmal im System, führten die Angreifer Erkennungsbefehle wie uname, whoami, ver und tasklist aus, um Hostname, aktuellen Benutzer, Betriebssystemversion und laufende Prozesse zu ermitteln. Sie erstellten auch ein privilegiertes Konto namens Administrator17. Zu den Aktivitäten nach der Ausnutzung gehörten die Bereitstellung von Tools zur Sammlung von Windows-Registry-Hives, Metasploit/Meterpreter-bezogenen Java-Payloads und Befehlen zur Identifizierung von Hosts, Benutzern, Prozessen und sensiblen Konfigurationsdaten.

Um Anmeldedaten zu sammeln, lieferten die Angreifer Tools namens lsa_collect.exe, lsa_collect_small.exe und save_hives.exe unter Verwendung des legitimen Windows-Dienstprogramms certutil.exe aus. Diese Tools sammeln Daten aus der Windows-Registry, einer Datenbank, die System- und Benutzereinstellungen speichert. In einer Sandbox beobachtete Arctic Wolf, wie lsa_collect.exe bestimmte Registrierungsschlüssel extrahierte, um den System-BootKey zu rekonstruieren, einen geheimen Wert, der die Security Account Manager (SAM)-Datenbank entsperren kann, in der Windows Passwort-Hashes speichert. Wenn Angreifer diese Hashes wiederherstellen, können sie versuchen, sie zu knacken oder wiederzuverwenden, um auf andere Systeme zuzugreifen, die dieselben Passwörter verwenden. Arctic Wolf sagte, die Sorge sei, dass gestohlene Anmeldedaten Angreifern einen Weg in andere kritische Systeme in der Umgebung öffnen könnten.

Arctic Wolf listete mehrere Indikatoren für eine Kompromittierung auf. Eingehende GET-Anfragen von der IP-Adresse 45.142.193[.]132 fragten nach Dateien namens /custom/pcp_*.txt und /custom/web/pcp_*.txt auf kompromittierten Hosts, die gesammelte System- und Benutzerdaten enthielten. Dieselbe Adresse lieferte die Tools zum Sammeln von Anmeldedaten, während eine zweite Adresse, 194.180.48[.]134, Meterpreter (ein Fernsteuerungswerkzeug, das von Angreifern verwendet wird) Java-Payloads bereitstellte und Sitzungen von infizierten Maschinen akzeptierte. Die Angreifer verwendeten auch den Befehl findstr, um PaperCut-Konfigurationsdateien nach den Begriffen password, secret, ldap, bind und token zu durchsuchen, wahrscheinlich um gespeicherte Passwörter oder Dienstkonto-Details zu finden.

Verteidiger sollten PaperCut-Server davor schützen, aus dem Internet erreichbar zu sein, und die Ausführung von cmd.exe, powershell.exe oder anderen Skript- und Befehlsinterpretern (Programme, die es jemandem ermöglichen, direkt Befehle einzugeben) überwachen, insbesondere wenn der übergeordnete Prozess pc-app.exe ist, die PaperCut-Anwendung. Befehle, die whoami, tasklist, ver oder uname -a enthalten, sind überprüfenswert. Für Organisationen, die PaperCut oder ähnliche internetfähige Serversoftware betreiben, kann die Zusammenarbeit mit einem sicherheitsorientierten IT-Infrastrukturpartner wie AEU-I helfen, Bereitstellungen zu härten und verdächtige Befehlsausführungen und Kontenänderungen zu überwachen.