Attackers Exploit PaperCut Flaws to Steal Credentials From Schools and Universities

Campagne d’attaques ciblées contre PaperCut dans le secteur éducatif

Des cybercriminels exploitent activement deux vulnérabilités critiques dans les serveurs PaperCut pour s’infiltrer au sein d’institutions éducatives aux États-Unis et en Europe. Cette campagne vise principalement le vol d’identifiants et la compromission des systèmes pour obtenir un accès privilégié.

Points clés :

• Cibles : Établissements scolaires (K-12) et universités.
• Mode opératoire : Chaînage de vulnérabilités pour exécuter des commandes à distance, effectuer de la reconnaissance système et créer des comptes administrateurs factices.
• Exfiltration : Utilisation d’outils pour collecter les ruches du registre Windows (SAM/BootKey) et recherche de mots-clés sensibles (LDAP, secrets, tokens) dans les fichiers de configuration.
• Outils détectés : Déploiement de charges utiles Java (Metasploit/Meterpreter) et outils de récolte d’identifiants.

Vulnérabilités exploitées :

• CVE-2026-81578 : Contournement d’authentification.
• CVE-2026-82078 : Exécution de code à distance (RCE).

Recommandations :

• Restreindre l’exposition : Ne pas exposer les serveurs PaperCut directement sur Internet.
• Surveillance accrue : Monitorer le processus parent pc-app.exe. Toute exécution inhabituelle de cmd.exe, powershell.exe ou de commandes de reconnaissance (whoami, tasklist, ver, uname) doit être considérée comme suspecte.
• Audit : Rechercher toute création de compte utilisateur non autorisée (ex: “Administrator17”).

Source