Rrjetet Arsimore përballen me vjedhjen e kredencialeve përmes zinxhirit të shfrytëzimit të PaperCut

Sipas Ekipit Kërkimor të Arctic Wolf Adversary Research, sulmuesit po shfrytëzojnë në mënyrë aktive dy dobësi të sapozbuluara të PaperCut për të vjedhur kredencialet nga shkollat dhe universitetet në Shtetet e Bashkuara dhe Evropë. Kompania e sigurisë vëzhgoi shfrytëzimin e CVE-2026-81578 dhe CVE-2026-82078, një zinxhir i anashkalimit të autentifikimit dhe ekzekutimit të kodit në distancë që i lejon një sulmuesi të anashkalojë kontrollet normale të hyrjes dhe më pas të ekzekutojë komandat e tij në një server. PaperCut është softuer për menaxhimin e printimit i përdorur nga shumë institucione arsimore dhe biznese për të kontrolluar printimin, fotokopjimin dhe skanimin.

Arctic Wolf i tha The Hacker News se sulmet kanë synuar serverët e prekshëm PaperCut në të gjithë sektorin arsimor, nga shkollat K-12 deri te universitetet e mëdha. Pasi hynin, sulmuesit ekzekutonin komanda zbulimi si uname, whoami, ver dhe tasklist për të mësuar emrin e hostit, përdoruesin aktual, versionin e sistemit operativ dhe proceset në ekzekutim. Ata gjithashtu krijuan një llogari të privilegjuar të quajtur Administrator17. Aktiviteti pas shfrytëzimit përfshinte dërgimin e mjeteve për mbledhjen e regjistrit të Windows, ngarkesat Java të lidhura me Metasploit/Meterpreter dhe komanda të përdorura për të identifikuar hostet, përdoruesit, proceset dhe të dhënat e ndjeshme të konfigurimit.

Për të vjedhur kredencialet, sulmuesit dërguan mjete të quajtura lsa_collect.exe, lsa_collect_small.exe dhe save_hives.exe duke përdorur mjetin legjitim të Windows certutil.exe. Këto mjete mbledhin të dhëna nga regjistri i Windows, një bazë të dhënash që ruan cilësimet e sistemit dhe të përdoruesit. Në një sandbox, Arctic Wolf vëzhgoi lsa_collect.exe duke nxjerrë çelësa specifikë të regjistrit për të rindërtuar BootKey-in e sistemit, një vlerë sekrete që mund të zhbllokojë bazën e të dhënave Security Account Manager (SAM) ku Windows ruan hash-et e fjalëkalimeve. Nëse sulmuesit rikuperojnë ato hash-e, ata mund të përpiqen t'i thyejnë ato ose t'i ripërdorin për të hyrë në sisteme të tjera që ndajnë të njëjtat fjalëkalime. Arctic Wolf tha se shqetësimi është se kredencialet e vjedhura mund t'u japin sulmuesve një rrugë hyrjeje në sisteme të tjera kritike në të gjithë mjedisin.

Arctic Wolf listoi disa tregues të komprometimit. Kërkesat hyrëse GET nga adresa IP 45.142.193[.]132 kërkonin skedarë të quajtur /custom/pcp_*.txt dhe /custom/web/pcp_*.txt në hostet e komprometuara, të cilat përmbanin të dhëna të mbledhura të sistemit dhe përdoruesit. E njëjta adresë dërgoi mjetet e mbledhjes së kredencialeve, ndërsa një adresë e dytë, 194.180.48[.]134, shërbeu ngarkesat Java të Meterpreter (një mjet i kontrollit në distancë i përdorur nga sulmuesit) dhe pranoi sesione nga makina të infektuara. Sulmuesit gjithashtu përdorën komandën findstr për të kërkuar në skedarët e konfigurimit të PaperCut termat password, secret, ldap, bind dhe token, ndoshta duke kërkuar fjalëkalime të ruajtura ose detaje të llogarive të shërbimit.

Mbrojtësit duhet të kufizojnë serverët PaperCut nga ekspozimi në internet dhe të monitorojnë ekzekutimin e cmd.exe, powershell.exe ose interpretuesve të tjerë të skriptimit dhe komandave (programe që lejojnë dikë të shkruajë komanda direkt), veçanërisht kur procesi mëmë është pc-app.exe, aplikacioni PaperCut. Komandat që përmbajnë whoami, tasklist, ver ose uname -a ia vlen të rishikohen. Për organizatat që përdorin PaperCut ose softuer të ngjashëm serverësh të përballur me internetin, puna me një partner të infrastrukturës së TI-së të fokusuar në siguri si AEU-I mund të ndihmojë në forcimin e vendosjeve dhe monitorimin e ekzekutimit të dyshimtë të komandave dhe ndryshimeve të llogarive.