Campaña de explotación de PaperCut NG/MF con agentes de IA compromete 395 organizaciones

Un grupo de amenaza, que parece operar en ruso, desplegó cientos de agentes de inteligencia artificial para crear, probar y refinar exploits de las vulnerabilidades CVE-2026-81578 y CVE-2026-82078 en servidores PaperCut NG/MF. Según la firma de inteligencia GreyNoise, la campaña arrancó el 31 de agosto combinando los modelos Codex de OpenAI y DeepSeek con herramientas ofensivas habituales.

Los agentes también generaron listas de objetivos mediante la plataforma de escaneo Netlas. Los datos de GreyNoise indican que al menos 440 instancias de PaperCut fueron comprometidas, vinculadas a 395 organizaciones distintas en 48 naciones. De esas víctimas, se robaron credenciales de 280, se obtuvieron secretos del sistema operativo o dominio en 147 y se lograron privilegios de administrador en 12 organizaciones. El sector educativo representó aproximadamente la mitad de los incidentes; EE. UU. lideró la lista de países atacados, seguido de Reino Unido, Francia, España y Canadá.

Aunque el actor marcó una lista de países a evitar —Rusia, China, Irán, Ucrania, Bielorrusia, Moldavia, Brasil y Sudáfrica— los agentes de IA no respetaron siempre esas reglas. GreyNoise subraya que la IA permite a los atacantes lanzar ofensivas en cuestión de horas, dejando a los defensores con márgenes de respuesta muy estrechos. Un ejemplo citado muestra que el adversario pasó de un entorno vacío a ejecución remota de código (RCE) contra una víctima real en menos de cuatro horas, y a privilegios de administrador de dominio en siete minutos contra una escuela secundaria en EE. UU.

Los investigadores identificaron tres rutas de ataque tras explotar las vulnerabilidades: extracción de la memoria LSASS y secretos del registro en servidores PaperCut unidos a dominio, seguido de un ataque "pass‑the‑hash"; uso del ataque "noPac" contra entornos aún vulnerables a CVE‑2021‑42278 y CVE‑2021‑42287; y adición directa de una cuenta creada al grupo Domain Admins cuando PaperCut se ejecuta en un controlador de dominio o bajo una cuenta de administrador de dominio. En todos los casos se empleó la técnica DCSync para obtener un volcado completo de NTDS.DIT con credenciales de dominio.

El conjunto de herramientas del atacante incluye Ligolo‑ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket, NetExec y utilidades personalizadas escritas en Rust. GreyNoise no pudo determinar el objetivo final de la campaña, pero el acceso obtenido podría servir para robo de datos o para operaciones de ransomware.

Los administradores de sistemas deben aplicar de inmediato las actualizaciones de emergencia de PaperCut que corrigen CVE-2026-81578 y CVE-2026-82078, siguiendo las instrucciones del boletín de seguridad. La información de GreyNoise está disponible en su blog, donde se describen con detalle los mecanismos de orquestación de IA utilizados en la campaña.

Este incidente muestra cómo la automatización basada en IA puede escalar la explotación de vulnerabilidades de forma rápida y eficiente, obligando a los equipos de defensa a acelerar sus procesos de parcheo y detección de credenciales comprometidas.