Una campaña de PaperCut orquestada por IA compromete 395 organizaciones en todo el mundo

Un probable actor de amenazas rusoparlante utilizó cientos de agentes de inteligencia artificial para explotar servidores PaperCut vulnerables y comprometió al menos 440 implementaciones pertenecientes a 395 organizaciones de 48 países.

La campaña comenzó el 31 de agosto y tuvo como objetivo instalaciones de PaperCut NG y PaperCut MF afectadas por dos vulnerabilidades críticas. Los atacantes obtuvieron ejecución remota de código, sustrajeron credenciales de 280 víctimas y alcanzaron privilegios de administrador de dominio en 12 organizaciones.

GreyNoise descubrió que la operación combinó los modelos OpenAI Codex y DeepSeek con Netlas, utilidades personalizadas y herramientas de seguridad ofensiva ampliamente disponibles. La IA no introdujo una técnica de explotación fundamentalmente nueva. En cambio, aceleró drásticamente el desarrollo de exploits, el reconocimiento, la validación, el robo de credenciales y la escalada en Active Directory.

Cientos de agentes de IA comprimieron los plazos del ataque

Según los informes, el actor comenzó con un espacio de trabajo de desarrollo vacío y logró ejecutar código de forma remota contra una víctima real en poco menos de cuatro horas. Aproximadamente dos horas después, la operación registró su primer compromiso de una cuenta de administrador de dominio.

Cuando la explotación se amplió, al menos 11 organizaciones fueron comprometidas en 26 segundos. En un instituto de educación secundaria de Estados Unidos, los atacantes pasaron del acceso inicial a PaperCut a obtener privilegios completos de administrador de dominio en siete minutos.

Esa velocidad redujo considerablemente el intervalo entre la identificación de un servidor vulnerable y el compromiso del dominio Windows circundante. Las suposiciones tradicionales de respuesta —según las cuales los defensores esperan horas o días entre las distintas fases de la explotación— dejaron de ser aplicables.

Los agentes ayudaron a construir y perfeccionar exploits, generar objetivos, probar payloads y ejecutar tareas de la campaña en paralelo. El entorno de apoyo incluía:

• Modelos OpenAI Codex y DeepSeek
• Netlas para el escaneo de Internet y el descubrimiento de activos
• Ligolo-ng para la creación de túneles
• Mimikatz y utilidades personalizadas en Rust para la recopilación de credenciales
• BloodHound para el mapeo de Active Directory
• Certipy y Rubeus para ataques relacionados con la autenticación y los certificados
• Impacket y NetExec para operaciones remotas y movimiento lateral

El actor también ordenó a los agentes que evitaran 28 países. Entre las exclusiones mencionadas se encontraban Rusia, China, Irán, Ucrania, Bielorrusia, Moldavia, Brasil y Sudáfrica. Estos controles no fueron fiables y aun así se identificaron víctimas en algunos lugares prohibidos.

Estados Unidos concentró el mayor número de objetivos, seguido de Reino Unido, Francia, España y Canadá. El sector educativo representó 204 de las 440 implementaciones comprometidas. Entre los demás sectores afectados se encontraban el comercio minorista, los servicios profesionales, el sector inmobiliario, la hostelería, los proveedores de TI, los proveedores de servicios gestionados, las organizaciones sin ánimo de lucro, las bibliotecas, la industria manufacturera y los servicios públicos.

Dos fallos de PaperCut permitieron ejecutar código sin autenticación

La campaña explotó CVE-2026-81578 y CVE-2026-82078, que afectan a las versiones de PaperCut NG y PaperCut MF anteriores a la 24.1.9.

Los fallos se divulgaron como vulnerabilidades de día cero el 27 de agosto y se corrigieron al día siguiente. Ambos entraron en el catálogo de vulnerabilidades explotadas conocidas de CISA el 31 de agosto de 2026, lo que confirma una explotación activa y no un riesgo meramente teórico.

CVE-2026-81578 es una vulnerabilidad de control de acceso inadecuado en la interfaz web de administración de los productos. En determinadas condiciones, las solicitudes no autenticadas enviadas a funciones administrativas pueden activar acciones en el backend antes de que finalicen las comprobaciones de acceso. Por tanto, un atacante externo puede modificar determinadas configuraciones del sistema sin credenciales válidas.

Tiene una puntuación CVSS de 9,8 y el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

CVE-2026-82078 afecta a utilidades de conexión con bases de datos que instancian dinámicamente clases de controladores de bases de datos Java. PaperCut acepta nombres de controladores configurables sin restringirlos a una lista de permitidos. Un atacante capaz de modificar la configuración pertinente puede hacer que se ejecute bytecode Java ya disponible en el classpath de la aplicación, con los privilegios del proceso del servidor PaperCut.

El segundo fallo tiene una puntuación CVSS de 9,1 y el vector CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

Aunque CVE-2026-82078 requiere privilegios elevados cuando se explota de forma aislada, los informes sobre la campaña indican que las dos vulnerabilidades podían combinarse para eludir la autenticación y ejecutar código arbitrario de forma remota. El fallo de control de acceso permitía modificar la configuración, mientras que la carga insegura de clases convertía ese control en ejecución de código.

CISA estableció el 14 de septiembre de 2026 como plazo de remediación para las agencias federales de Estados Unidos. La acción obligatoria incluye aplicar las mitigaciones del proveedor, seguir las directrices de aplicación de parches basadas en el riesgo de la BOD 26-04 y completar los requisitos de triaje forense de la agencia. También deben seguirse las directrices aplicables a los servicios en la nube; si no hay mitigaciones disponibles, CISA ordena a las agencias dejar de utilizar el producto afectado.

El acceso a PaperCut se convirtió en un compromiso de Active Directory

El control inicial de un servidor de gestión de impresión era solo la primera fase. GreyNoise observó tres vías principales desde la ejecución de código en PaperCut hasta el acceso a todo el dominio.

En la primera, los atacantes extrajeron la memoria de LSASS y secretos del registro de Windows de servidores PaperCut unidos al dominio. Después utilizaron los hashes de contraseñas recuperados en ataques pass-the-hash contra controladores de dominio.

La segunda vía se basó en NoPac, una cadena de escalada en Active Directory que involucra CVE-2021-42278 y CVE-2021-42287. Ambas vulnerabilidades tienen puntuaciones CVSS de 7,5 y afectan a varias versiones de Windows Server, incluidas las versiones de Windows Server 2004, 2008, 2012, 2016, 2019, 2022 y 20H2.

Las dos vulnerabilidades de NoPac forman parte del catálogo KEV de CISA desde el 11 de abril de 2022, con un plazo de remediación federal fijado para el 2 de mayo de 2022. También consta que se han utilizado en campañas de ransomware. La acción exigida por CISA consiste en aplicar las actualizaciones de Microsoft.

La tercera vía era más directa. Cuando PaperCut se ejecutaba en un controlador de dominio o utilizaba una cuenta de servicio con privilegios de administrador de dominio, los atacantes creaban una cuenta nueva y la incluían en el grupo Domain Admins.

Todas las vías de escalada observadas acabaron incluyendo actividad DCSync. Esta técnica suplanta el comportamiento de replicación de un controlador de dominio para recuperar material de credenciales, lo que permite a los atacantes obtener una base de datos NTDS.DIT completa con los datos de contraseñas del dominio.

Por tanto, el modelo de implementación influyó considerablemente en el impacto. Ejecutar PaperCut con privilegios de administrador de dominio —o directamente en un controlador de dominio— convirtió el compromiso de la aplicación en una vía inmediata hacia la infraestructura de identidades más sensible de la organización.

El robo de credenciales afectó a cientos de víctimas

Los atacantes recopilaron credenciales de 280 víctimas o hosts comprometidos. Las cifras publicadas difieren en cuanto al número de sistemas de los que se obtuvieron correctamente secretos del sistema operativo o del dominio: una fuente informa de 147 víctimas, mientras que otra habla de 137 hosts comprometidos. Se desconoce el motivo de la discrepancia.

Se confirmó el acceso con privilegios de administrador de dominio en 12 organizaciones. Ese nivel de control permite crear cuentas, modificar políticas, realizar movimientos laterales, establecer persistencia y acceder a sistemas de toda una empresa Windows.

El objetivo final de la campaña sigue sin determinarse. GreyNoise no pudo establecer si el actor pretendía llevar a cabo directamente operaciones posteriores o empaquetar el acceso para otros operadores delictivos, como los intermediarios de acceso inicial.

El acceso obtenido permitiría robar datos o desplegar ransomware, pero no se ha confirmado ninguno de los dos resultados como propósito último de la campaña. La atribución también sigue siendo limitada: el entorno operativo parecía rusoparlante, pero no se ha identificado de forma concluyente a ninguna organización concreta.

Los administradores deben tratar los servidores expuestos como potencialmente comprometidos

Los administradores de PaperCut NG y MF deben actualizar inmediatamente a la versión 24.1.9 o posterior e implementar las recomendaciones de seguridad del proveedor. Las instalaciones expuestas a Internet requieren máxima prioridad.

La aplicación de parches cierra las vulnerabilidades, pero no elimina las credenciales, cuentas o mecanismos de persistencia creados antes de la actualización. Las organizaciones que utilizaron una versión afectada deben investigar el servidor y sus controladores de dominio asociados, especialmente si el servicio PaperCut tenía privilegios elevados en el dominio.

Los equipos de respuesta deben buscar:

• Acceso a la memoria de LSASS o a almacenes de credenciales del registro
• Autenticación pass-the-hash contra controladores de dominio
• Indicios de explotación de NoPac
• Creación inesperada de cuentas locales o de dominio
• Incorporaciones no autorizadas al grupo Domain Admins
• Solicitudes DCSync procedentes de sistemas que no son controladores de dominio
• Acceso a NTDS.DIT o exfiltración de este archivo
• Túneles no autorizados o artefactos asociados a Ligolo-ng
• Ejecución de Mimikatz, Certipy, Rubeus, Impacket, NetExec o recopiladores de credenciales personalizados

Deben rotarse las credenciales accesibles para el servidor PaperCut, prestando especial atención a las cuentas de servicio y a las identidades de dominio privilegiadas. Los administradores también deben verificar la remediación de CVE-2021-42278 y CVE-2021-42287 en todos los sistemas Windows Server pertinentes.

No se han divulgado indicadores de red, nombres de archivo, hashes ni líneas de comandos específicos de la campaña. Por tanto, los defensores deben basarse en las evidencias de comportamiento, los registros de identidad, la telemetría de los endpoints, los eventos del servicio de directorio y el análisis forense de los hosts PaperCut afectados.

El registro KEV revela un problema más amplio de gestión de parches

Los dos fallos de PaperCut no son incorporaciones aisladas al catálogo de vulnerabilidades explotadas de CISA. Durante los 90 días anteriores, otras seis vulnerabilidades de Microsoft o PaperCut entraron en KEV: CVE-2026-85880 y CVE-2026-81963 el 8 de septiembre de 2026; CVE-2019-1068 el 26 de agosto de 2026; CVE-2026-33824 y CVE-2026-55040 el 18 de agosto de 2026; y CVE-2026-68820 el 11 de agosto de 2026.

Esta campaña también demuestra cómo las antiguas debilidades de la capa de identidad pueden amplificar un fallo de aplicación explotado recientemente. Incluso después de actualizar PaperCut, los sistemas de Active Directory sin parches pueden conservar una vía de escalada para los atacantes que ya hayan obtenido un punto de apoyo.

El cambio operativo es la velocidad. Cientos de agentes de IA permitieron a un solo actor realizar simultáneamente tareas que, de otro modo, habrían requerido un equipo más grande y un ciclo de desarrollo más prolongado. En el caso de las infraestructuras expuestas, la ventana útil de remediación puede medirse ahora en minutos.