Una campagna di intrusione contro i server PaperCut NG/MF esposti e non aggiornati ha compromesso almeno 440 installazioni riconducibili a 395 organizzazioni in 48 Paesi. L’elemento che distingue l’operazione non è soltanto la scala dei bersagli: secondo GreyNoise, l’attore responsabile ha impiegato centinaia di agenti AI per costruire, verificare e migliorare gli strumenti di attacco, quindi per individuare sistemi vulnerabili e colpirli con rapidità.
L’operazione sarebbe iniziata il 31 agosto e avrebbe sfruttato le vulnerabilità CVE-2026-81578 e CVE-2026-82078, difetti di sicurezza di PaperCut Software segnalati come già sfruttati attivamente nei primi giorni del mese. GreyNoise attribuisce l’attività con prudenza a un soggetto probabilmente russofono. Non ha però identificato il suo obiettivo finale: gli accessi ottenuti potrebbero prestarsi tanto al furto di informazioni quanto a una successiva operazione ransomware.
PaperCut NG e PaperCut MF sono piattaforme usate per gestire stampa, scansione, quote e autenticazione in organizzazioni di ogni tipo. Per questa ragione, un server PaperCut inserito in una rete Windows di dominio può rappresentare un punto d’ingresso particolarmente utile: se l’attaccante riesce a eseguirvi codice, può cercare credenziali, spostarsi verso altri sistemi e puntare al controllo dell’infrastruttura di identità.
Dall’exploit al controllo del dominio in poche ore
GreyNoise descrive una catena operativa in cui modelli OpenAI Codex e DeepSeek sono stati combinati con strumenti offensivi comuni. Gli agenti avrebbero ricevuto compiti distinti: sviluppare e testare gli exploit, correggerne i problemi, produrre liste di potenziali bersagli tramite la piattaforma di scansione e discovery Netlas, quindi sostenere l’esecuzione della campagna. Il dato rilevante è il tempo: dall’avvio in un ambiente di lavoro vuoto al primo accesso remoto con esecuzione di codice su una vittima reale sarebbero trascorse meno di quattro ore. Il primo account con privilegi di domain administrator sarebbe stato raggiunto circa due ore più tardi.
Una volta avviata l’azione su vasta scala, GreyNoise ha osservato almeno 11 organizzazioni compromesse nell’arco di 26 secondi. In un caso relativo a una high school statunitense, l’escalation dall’accesso iniziale al controllo completo del dominio avrebbe richiesto sette minuti. Sono tempi che riducono drasticamente il margine operativo dei team di sicurezza: una vulnerabilità lasciata aperta non espone più soltanto a tentativi manuali, ma a procedure in grado di adattarsi e di essere replicate su molti obiettivi quasi contemporaneamente.
La maggior parte delle vittime appartiene al settore dell’istruzione, che rappresenta circa metà delle compromissioni rilevate. Gli Stati Uniti sono il Paese più colpito, seguiti da Regno Unito, Francia, Spagna e Canada. L’attore aveva inoltre indicato ai propri agenti un elenco di Paesi da evitare, fra cui Russia, Cina, Iran, Ucraina, Bielorussia, Moldova, Brasile e Sudafrica. Le istruzioni, tuttavia, non sono state applicate in modo coerente: un dettaglio che invita a distinguere le intenzioni dichiarate nella configurazione dell’operazione dai risultati effettivi sul campo.
Che cosa hanno cercato gli aggressori dopo l’accesso
Il passaggio iniziale sui server PaperCut era solo l’apertura. Dalle evidenze raccolte da GreyNoise, 280 vittime hanno subito il furto di credenziali; in 147 casi sono stati ottenuti segreti del sistema operativo o del dominio. In 12 organizzazioni gli aggressori hanno raggiunto privilegi amministrativi. La differenza è sostanziale: una password o un hash sottratto può consentire ulteriori tentativi di accesso, mentre la disponibilità di segreti di dominio può trasformare la compromissione di un singolo host nel controllo dell’intera rete Windows.
I ricercatori hanno individuato tre percorsi ricorrenti. Il primo prevedeva l’estrazione della memoria di LSASS e dei segreti nel Registro di sistema dai server PaperCut uniti al dominio, seguita dall’uso degli hash recuperati verso i domain controller con la tecnica pass-the-hash. Il secondo sfruttava noPac, una catena nota che resta praticabile negli ambienti non corretti contro CVE-2021-42278 e CVE-2021-42287. Il terzo era più diretto: quando PaperCut veniva eseguito su un domain controller, oppure tramite un account di servizio già dotato di privilegi di amministratore del dominio, veniva creato un nuovo utente e aggiunto al gruppo Domain Admins.
In tutti gli scenari osservati seguiva DCSync, tecnica post-compromissione che simula il comportamento di un domain controller per richiedere dati di replica di Active Directory. In questo modo l’attaccante può ottenere un dump completo di NTDS.DIT, il database che contiene le credenziali del dominio. A quel punto l’incidente non riguarda più il solo server applicativo originariamente vulnerabile: riguarda la fiducia su cui si regge l’autenticazione dell’organizzazione.
Nel kit impiegato figurano strumenti diffusi nei test di sicurezza e negli attacchi reali, fra cui Ligolo-ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket e NetExec. GreyNoise segnala anche utility personalizzate in Rust dedicate alla raccolta di credenziali. La presenza di software conosciuti non riduce la gravità dell’attività; al contrario, rende più importante monitorare comportamenti e tecniche, non limitarsi al rilevamento di un singolo malware o di un file con firma nota.
L’AI non elimina le difese, ma comprime il tempo di reazione
Il caso non dimostra che un modello generativo possa condurre autonomamente una campagna senza supervisione, né consente di attribuire con certezza l’operazione a uno Stato o a un gruppo criminale specifico. Mostra però come agenti orchestrati da un attore umano possano accelerare attività già note: scrittura e revisione del codice, ricognizione, enumerazione dei target, test degli exploit e coordinamento di passaggi successivi.
Per le organizzazioni, la lezione più concreta resta la gestione dell’esposizione. PaperCut ha pubblicato aggiornamenti di emergenza per CVE-2026-81578 e CVE-2026-82078, che gli amministratori dovrebbero applicare senza attendere le normali finestre di manutenzione. La sola patch, comunque, può non essere sufficiente se il server è stato già raggiunto. È necessario verificare eventuali indicatori di compromissione, le attività anomale sugli account, la creazione di nuovi membri di Domain Admins, gli accessi ai domain controller e richieste DCSync inattese.
Conviene inoltre controllare se i server PaperCut operano con account di servizio eccessivamente privilegiati o, nei casi più rischiosi, direttamente su un domain controller. Ridurre i privilegi, isolare i servizi esposti e applicare le correzioni Windows pertinenti contro noPac limita le possibilità di trasformare un difetto applicativo in un incidente di dominio. In presenza di segnali di furto delle credenziali, la risposta deve considerare il rischio che gli aggressori abbiano già copiato dati di Active Directory, non soltanto quello di una password da reimpostare.
La campagna osservata da GreyNoise sposta quindi l’attenzione dalla sola sofisticazione tecnica dell’exploit alla velocità dell’intero ciclo offensivo. Se ricognizione e sperimentazione vengono automatizzate su centinaia di agenti, l’intervallo tra la pubblicazione di una patch e una compromissione può diventare troppo breve per processi di aggiornamento lenti o poco controllati. Per chi gestisce PaperCut, la priorità immediata è chiudere le due vulnerabilità e accertare che l’accesso iniziale non abbia già aperto una strada verso l’identità di dominio.
