Campanha orquestrada por IA explorou falhas do PaperCut e atingiu 395 organizações

Empresas de segurança afirmam que um operador provavelmente de língua russa usou centenas de agentes automatizados de inteligência artificial para criar, testar e executar exploits que encadearam uma falha de bypass de autenticação (CVE-2026-81578) com carregamento inseguro de classes Java (CVE-2026-82078). O objetivo foi obter execução remota de código sem autenticação em servidores PaperCut NG/MF expostos à internet.

A campanha automatizada comprometeu rapidamente cerca de 440 instâncias do PaperCut ligadas a aproximadamente 395 organizações em 48 países. Metade das vítimas estava no setor de educação, e os Estados Unidos foram o país mais visado.

Os invasores coletaram credenciais de centenas de vítimas, exfiltraram segredos do sistema operacional e do domínio em muitos hosts, e alcançaram acesso de administrador de domínio em 12 organizações. Foram observados o uso de ferramentas e técnicas como Mimikatz, Certipy, Rubeus, BloodHound e DCSync.

Os respondedores relataram fluxos de trabalho rápidos e repetíveis que preservavam contexto, tentavam novamente em caso de falha e escalavam privilégios em minutos ou segundos. Isso levou o PaperCut a emitir patches de emergência e atualizações de endurecimento que os administradores devem aplicar imediatamente.

Investigadores recomendam isolar ou remover a exposição à internet dos servidores PaperCut, preservar logs e indicadores de comprometimento para análises e caças a ameaças, e assumir que hosts expostos podem estar completamente comprometidos, exigindo reconstrução a partir de backups limpos.