Falhas no PaperCut permitiram avançar de servidor de impressão ao Active Directory
Uma invasão investigada pela eSentire mostra como vulnerabilidades críticas em um servidor de impressão podem abrir caminho para sistemas centrais de uma organização. No caso analisado, os criminosos combinaram duas falhas zero-day do PaperCut MF – CVE-2026-81578 e CVE-2026-82078 – e chegaram ao controlador de domínio de uma instituição de ensino em menos de dois dias.
O ponto de entrada foi o campo destinado à consulta de cartões ou crachás. Por meio dele, os invasores inseriram código Java malicioso e conseguiram modificar configurações sem autenticação. A brecha também permitiu executar bytecode arbitrário na versão 24.0.2 do software, transformando um servidor de impressão acessível pela internet em uma porta de entrada para a rede interna.
A primeira etapa da cadeia de ataque foi um carregador que reconstruía partes do código malicioso diretamente na memória. Depois, iniciava o próximo componente e removia os arquivos usados, dificultando a análise posterior. O recurso havia sido preparado para funcionar em diferentes versões do Tomcat, servidor de aplicações associado ao ambiente comprometido.
Na sequência, os invasores instalaram um web shell, ferramenta que permite executar comandos remotamente. O acesso era controlado por meio de um cabeçalho HTTP específico. O implante também consultava configurações e apagava registros de atividade. Como foi inserido em uma etapa inicial do processamento das requisições, ainda interferia em tentativas de exploração realizadas por outros grupos, dificultando que terceiros utilizassem a mesma brecha.
Para manter o controle da máquina, os criminosos recorreram ao AdaptixC2, uma plataforma de comando e controle. O implante foi ocultado dentro de um arquivo executável modificado do Microsoft Copilot e baixado de uma infraestrutura hospedada na Alibaba Cloud. Após a primeira comunicação com os operadores, o malware permaneceu inativo por aproximadamente 24 horas. Só então os invasores retomaram a operação manualmente.
A passagem para uma conta com mais privilégios não dependeu da descoberta de uma senha. Os atacantes localizaram um processo ativo executado com uma conta de serviço que possuía permissões de domínio. Em seguida, copiaram o token de acesso associado ao processo e reiniciaram o implante com os privilégios daquela conta. A técnica permitiu ampliar o acesso sem precisar autenticar-se com uma credencial convencional.
O controlador de domínio foi alcançado por meio de um compartilhamento administrativo. Para executar o payload, os invasores alteraram temporariamente o serviço PlugPlay do Windows e, depois, restauraram seu caminho legítimo, numa tentativa de reduzir os vestígios da intervenção. Já dentro do servidor, coletaram credenciais presentes na memória e no registro do sistema.
A operação prosseguiu com a ativação do modo Restricted Admin, que permite determinadas conexões remotas sem transmitir a senha do usuário ao computador de destino. Os criminosos usaram um hash NTLM para obter acesso via RDP e copiaram a base do Active Directory, que reúne informações das contas do domínio e dados relacionados às credenciais. Com isso, o comprometimento deixou de se limitar ao servidor de impressão e passou a ameaçar a identidade digital de toda a organização.
O episódio evidencia por que equipamentos considerados periféricos – como servidores de impressão – não devem ser tratados como sistemas de baixo risco. Quando expostos à internet e conectados a uma rede corporativa, eles podem oferecer um caminho indireto até serviços essenciais. A segmentação de rede ajuda a limitar esse movimento: o servidor de impressão deve ter acesso apenas aos recursos necessários para cumprir sua função, e não ao controlador de domínio de forma ampla.
Também é importante revisar a exposição dos sistemas PaperCut e aplicar atualizações de segurança assim que forem disponibilizadas. Organizações devem identificar versões em uso, restringir o acesso à interface de administração e evitar que serviços de impressão fiquem acessíveis publicamente sem necessidade. Se o acesso remoto for indispensável, controles adicionais, como VPN e autenticação multifator, reduzem a possibilidade de exploração direta.
Contas de serviço merecem atenção especial. Privilégios de domínio devem ser concedidos somente quando forem indispensáveis, e processos executados com essas contas precisam ser monitorados. Uma conta de serviço com permissões excessivas pode transformar a invasão de um único equipamento em comprometimento de toda a infraestrutura de identidade.
Por fim, registros de eventos, processos incomuns e alterações em serviços do Windows podem ajudar a detectar atividades semelhantes. Organizações devem investigar sinais como web shells, executáveis inesperados em servidores, limpeza de logs, uso atípico de tokens e conexões RDP com autenticação baseada em hash. A rapidez para identificar esses comportamentos pode ser decisiva para conter o ataque antes que os invasores copiem dados do domínio ou ampliem o acesso a outros sistemas.