Уязвимости PaperCut используют для кражи учётных данных у школ и вузов
Исследователи Arctic Wolf зафиксировали атаки на уязвимые серверы PaperCut в образовательных организациях США и Европы. После проникновения злоумышленники собирают данные Windows и создают привилегированные учётные записи.
Злоумышленники начали использовать недавно раскрытые уязвимости в PaperCut для атак на образовательные учреждения США и Европы. Об этом сообщила команда Arctic Wolf Adversary Research Team: среди целей были как школы K–12, так и крупные университеты.
Атакующие объединяют CVE-2026-81578 и CVE-2026-82078 — уязвимости, позволяющие обойти аутентификацию и удалённо выполнить код. По данным Arctic Wolf, после получения доступа они выполняли разведку в скомпрометированной системе, запускали команды для сбора сведений о хостах, пользователях и процессах, а также создавали привилегированные аккаунты. В одном из эпизодов исследователи обнаружили учётную запись Administrator17.
В атаках применялись инструменты для сбора данных из реестра Windows, включая lsa_collect.exe, lsa_collect_small.exe и save_hives.exe. Arctic Wolf также выявила образец lsa_collect.exe, который извлекал ключи реестра, необходимые для восстановления системного BootKey и последующего доступа к базе SAM с учётными данными.
Кроме того, злоумышленники искали в конфигурационных файлах PaperCut сведения, связанные с паролями, секретами, LDAP и токенами. По оценке Arctic Wolf, похищенные учётные данные могут позволить атакующим проникнуть и в другие критически важные системы организации.
Исследователи рекомендуют не оставлять серверы PaperCut доступными из интернета и отслеживать запуск cmd.exe, powershell.exe и других интерпретаторов команд, особенно если их родительским процессом выступает pc-app.exe. Признаками атаки также могут быть команды whoami, tasklist, ver и uname -a.