Une campagne PaperCut orchestrée par l’IA compromet 395 organisations dans le monde

Un acteur malveillant probablement russophone a utilisé des centaines d’agents d’intelligence artificielle pour exploiter des serveurs PaperCut vulnérables, compromettant au moins 440 déploiements appartenant à 395 organisations dans 48 pays.

La campagne a débuté le 31 août et ciblait des installations de PaperCut NG et PaperCut MF affectées par deux vulnérabilités critiques. Les attaquants ont obtenu une exécution de code à distance, dérobé des identifiants à 280 victimes et obtenu des privilèges d’administrateur de domaine dans 12 organisations.

GreyNoise a établi que l’opération combinait les modèles OpenAI Codex et DeepSeek avec Netlas, des utilitaires personnalisés et des outils de sécurité offensive largement disponibles. L’IA n’a pas introduit de nouvelle technique d’exploitation fondamentale. Elle a en revanche considérablement accéléré le développement des exploits, la reconnaissance, la validation, le vol d’identifiants et l’escalade dans Active Directory.

Des centaines d’agents IA ont comprimé la durée de l’attaque

Selon les informations disponibles, l’acteur serait parti d’un espace de développement vide et aurait obtenu l’exécution de code à distance contre une victime réelle en un peu moins de quatre heures. Environ deux heures plus tard, l’opération enregistrait sa première compromission d’un compte administrateur de domaine.

Une fois l’exploitation passée à l’échelle, au moins 11 organisations ont été compromises en 26 secondes. Dans un lycée américain, les attaquants sont passés de l’accès initial à PaperCut à l’obtention de privilèges d’administrateur de domaine en sept minutes.

Cette rapidité a considérablement réduit l’intervalle entre l’identification d’un serveur vulnérable et la compromission du domaine Windows associé. Les hypothèses traditionnelles en matière de réponse à incident — selon lesquelles les défenseurs disposent de plusieurs heures ou jours entre les différentes phases de l’exploitation — ne s’appliquaient plus.

Les agents ont contribué à créer et à perfectionner les exploits, à générer des cibles, à tester des charges utiles et à exécuter simultanément les tâches de la campagne. L’environnement utilisé comprenait notamment :

• Les modèles OpenAI Codex et DeepSeek
• Netlas pour l’analyse d’Internet et la découverte d’actifs
• Ligolo-ng pour le tunneling
• Mimikatz et des utilitaires Rust personnalisés pour la collecte d’identifiants
• BloodHound pour la cartographie d’Active Directory
• Certipy et Rubeus pour les attaques liées à l’authentification et aux certificats
• Impacket et NetExec pour les opérations à distance et les mouvements latéraux

L’acteur a également demandé aux agents d’éviter 28 pays. Parmi les exclusions citées figuraient la Russie, la Chine, l’Iran, l’Ukraine, la Biélorussie, la Moldavie, le Brésil et l’Afrique du Sud. Ces contrôles se sont révélés peu fiables, et des victimes ont malgré tout été identifiées dans certains territoires interdits.

Les États-Unis comptaient le plus grand nombre de cibles, devant le Royaume-Uni, la France, l’Espagne et le Canada. Le secteur de l’éducation représentait 204 des 440 déploiements compromis. Les autres secteurs touchés comprenaient le commerce, les services professionnels, l’immobilier, l’hôtellerie, les fournisseurs informatiques, les fournisseurs de services managés, les organisations à but non lucratif, les bibliothèques, l’industrie manufacturière et les services publics.

Deux failles PaperCut ont permis l’exécution de code sans authentification

La campagne a exploité CVE-2026-81578 et CVE-2026-82078, qui affectent les versions de PaperCut NG et PaperCut MF antérieures à la 24.1.9.

Ces failles ont été divulguées comme des zero-days le 27 août et corrigées le lendemain. Toutes deux ont été ajoutées au catalogue des vulnérabilités exploitées connues de la CISA le 31 août 2026, confirmant une exploitation active plutôt qu’un risque purement théorique.

CVE-2026-81578 est une vulnérabilité de contrôle d’accès incorrect dans l’interface web d’administration des produits. Dans certaines conditions, des requêtes non authentifiées envoyées vers des fonctions administratives peuvent déclencher des actions côté serveur avant la fin des vérifications d’accès. Un attaquant externe peut donc modifier certaines configurations système sans disposer d’identifiants valides.

Elle possède un score CVSS de 9,8 et le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

CVE-2026-82078 affecte des utilitaires de connexion aux bases de données qui instancient dynamiquement des classes de pilotes Java. PaperCut accepte des noms de pilotes configurables sans les limiter à une liste autorisée. Un attaquant capable de modifier la configuration concernée peut ainsi provoquer l’exécution de bytecode Java déjà présent dans le classpath de l’application, avec les privilèges du processus du serveur PaperCut.

La seconde faille possède un score CVSS de 9,1 et le vecteur CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

Bien que CVE-2026-82078 nécessite à elle seule des privilèges élevés, les informations publiées sur la campagne indiquent que les deux vulnérabilités pouvaient être combinées pour contourner l’authentification et exécuter du code arbitraire à distance. La faiblesse de contrôle d’accès permettait de modifier la configuration, tandis que le chargement non sécurisé de classes transformait ce contrôle en exécution de code.

La CISA a fixé au 14 septembre 2026 la date limite de remédiation pour les agences fédérales américaines. Les mesures exigées comprennent l’application des mesures d’atténuation fournies par l’éditeur, le respect des recommandations de correctifs fondées sur le risque du BOD 26-04 et l’achèvement des exigences de triage forensique de l’agence. Les recommandations applicables aux services cloud doivent également être suivies ; si aucune mesure d’atténuation n’est disponible, la CISA demande aux agences de cesser d’utiliser le produit concerné.

L’accès à PaperCut s’est transformé en compromission d’Active Directory

La prise de contrôle initiale d’un serveur de gestion des impressions ne constituait que la première étape. GreyNoise a observé trois voies principales permettant de passer de l’exécution de code dans PaperCut à un accès à l’ensemble du domaine.

Dans le premier cas, les attaquants ont extrait la mémoire de LSASS et les secrets du registre Windows depuis des serveurs PaperCut joints au domaine. Les hachages de mots de passe récupérés ont ensuite été utilisés dans des attaques pass-the-hash contre des contrôleurs de domaine.

La deuxième voie reposait sur NoPac, une chaîne d’escalade dans Active Directory impliquant CVE-2021-42278 et CVE-2021-42287. Ces deux vulnérabilités ont un score CVSS de 7,5 et affectent plusieurs versions de Windows Server, notamment Windows Server 2004, 2008, 2012, 2016, 2019, 2022 et 20H2.

Les deux vulnérabilités NoPac figurent dans le catalogue KEV de la CISA depuis le 11 avril 2022, avec une date limite de remédiation fixée au 2 mai 2022 pour les agences fédérales. Elles sont également connues pour avoir été utilisées dans des campagnes de ransomware. La mesure exigée par la CISA consiste à appliquer les mises à jour de Microsoft.

La troisième voie était plus directe. Lorsque PaperCut s’exécutait sur un contrôleur de domaine ou utilisait un compte de service administrateur de domaine, les attaquants créaient un nouveau compte et l’ajoutaient au groupe Domain Admins.

Toutes les voies d’escalade observées comprenaient finalement des activités DCSync. Cette technique usurpe le comportement de réplication d’un contrôleur de domaine afin de récupérer des éléments d’authentification, permettant aux attaquants d’obtenir une base de données NTDS.DIT complète contenant les données de mots de passe du domaine.

Le modèle de déploiement a donc fortement influencé l’impact de l’attaque. Exécuter PaperCut avec des privilèges d’administrateur de domaine — ou directement sur un contrôleur de domaine — transformait la compromission de l’application en accès immédiat à l’infrastructure d’identité la plus sensible de l’organisation.

Le vol d’identifiants a touché des centaines de victimes

Les attaquants ont dérobé des identifiants sur 280 victimes ou hôtes compromis. Les chiffres publiés divergent quant au nombre de systèmes sur lesquels des secrets du système d’exploitation ou du domaine ont effectivement été récupérés : un compte fait état de 147 victimes, tandis qu’un autre mentionne 137 hôtes compromis. La raison de cet écart n’est pas connue.

Un accès administrateur de domaine a été confirmé dans 12 organisations. Un tel niveau de contrôle permet de créer des comptes, de modifier les stratégies, de se déplacer latéralement, de maintenir la persistance et d’accéder aux systèmes de l’ensemble d’un environnement Windows.

L’objectif final de la campagne reste indéterminé. GreyNoise n’a pas pu établir si l’acteur prévoyait de mener directement d’autres opérations ou de revendre cet accès à d’autres opérateurs criminels, notamment à des courtiers en accès initial.

L’accès obtenu aurait pu servir à dérober des données ou à déployer un ransomware, mais aucune de ces hypothèses n’a été confirmée comme objectif ultime de la campagne. L’attribution reste également limitée : l’environnement opérationnel semblait russophone, mais aucune organisation précise n’a pu être identifiée avec certitude.

Les administrateurs doivent considérer les serveurs exposés comme potentiellement compromis

Les administrateurs de PaperCut NG et MF doivent immédiatement effectuer une mise à niveau vers la version 24.1.9 ou ultérieure et appliquer les recommandations de sécurité de l’éditeur. Les installations exposées sur Internet doivent être traitées en priorité.

L’application des correctifs corrige les vulnérabilités, mais ne supprime ni les identifiants, ni les comptes, ni les mécanismes de persistance créés avant la mise à jour. Les organisations qui utilisaient une version affectée doivent examiner le serveur et les contrôleurs de domaine associés, en particulier si le service PaperCut disposait de privilèges élevés sur le domaine.

Les équipes de réponse à incident doivent rechercher :

• Un accès à la mémoire de LSASS ou aux magasins d’identifiants du registre
• Une authentification pass-the-hash contre des contrôleurs de domaine
• Des signes d’exploitation de NoPac
• La création inattendue de comptes locaux ou de domaine
• Des ajouts non autorisés au groupe Domain Admins
• Des requêtes DCSync provenant de systèmes qui ne sont pas des contrôleurs de domaine
• Un accès à NTDS.DIT ou son exfiltration
• Des tunnels ou artefacts non approuvés associés à Ligolo-ng
• L’exécution de Mimikatz, Certipy, Rubeus, Impacket, NetExec ou de collecteurs d’identifiants personnalisés

Les identifiants accessibles au serveur PaperCut doivent être renouvelés, en accordant une attention particulière aux comptes de service et aux identités de domaine privilégiées. Les administrateurs doivent également vérifier la correction de CVE-2021-42278 et CVE-2021-42287 sur tous les systèmes Windows Server concernés.

Aucun indicateur réseau, nom de fichier, hachage ou ligne de commande spécifique à la campagne n’a été divulgué. Les défenseurs doivent donc s’appuyer sur les éléments comportementaux, les journaux d’identité, la télémétrie des terminaux, les événements des services d’annuaire et l’examen forensique des hôtes PaperCut affectés.

L’inscription dans le catalogue KEV révèle un problème plus vaste de gestion des correctifs

Les deux failles de PaperCut ne sont pas les seuls ajouts récents au catalogue des vulnérabilités exploitées de la CISA. Au cours des 90 jours précédents, six autres vulnérabilités Microsoft ou PaperCut ont rejoint le catalogue KEV : CVE-2026-85880 et CVE-2026-81963 le 8 septembre 2026 ; CVE-2019-1068 le 26 août 2026 ; CVE-2026-33824 et CVE-2026-55040 le 18 août 2026 ; et CVE-2026-68820 le 11 août 2026.

Cette campagne montre également comment d’anciennes faiblesses de la couche d’identité peuvent amplifier une faille récemment exploitée dans une application. Même après la mise à jour de PaperCut, des systèmes Active Directory non corrigés peuvent préserver une voie d’escalade pour les attaquants ayant déjà obtenu un point d’appui.

Le changement opérationnel tient à la vitesse. Des centaines d’agents IA ont permis à un seul acteur d’exécuter simultanément des tâches qui auraient autrement nécessité une équipe plus importante et un cycle de développement plus long. Pour les infrastructures exposées, la fenêtre de remédiation utile se mesure peut-être désormais en minutes.