Атакующий на PaperCut использовал сотни ИИ-агентов для компрометации 440+ инстансов

Компании Blackpoint Cyber и GreyNoise независимо друг от друга опубликовали отчёты, описывающие масштабную кампанию по эксплуатации недавно раскрытых уязвимостей в продуктах PaperCut NG/MF. Злоумышленник, которого связывают с русскоязычной киберпреступной средой, организовал атаку на сотни инстансов, применяя для генерации эксплойтов искусственный интеллект. Случай важен тем, что показывает новый вектор автоматизации атак: ИИ-агенты позволяют быстро адаптировать эксплойты под конкретные конфигурации жертв и обходить часть защитных механизмов.

Активность атрибутируется IP-адресу 45.142.193[.]132, который ранее уже фигурировал в инцидентах, связанных с эксплуатацией уязвимостей. По данным исследователей, злоумышленник использовал сотни ИИ-агентов для анализа поведения целевых систем и генерации работоспособных векторов атаки. Итог — компрометация более 440 инстансов PaperCut NG/MF.

Подробности

Речь идёт о паре недавно раскрытых уязвимостей в PaperCut NG/MF, которые в совокупности позволяют удалённо выполнять код (RCE) на уязвимых серверах. Точные идентификаторы CVE в исходном материале не приводятся, однако характер эксплуатации указывает на критический уровень опасности: атакующему удавалось получать контроль над сервером печати без аутентификации.

Атака шла с IP-адреса 45.142.193[.]132, который исследователи Blackpoint Cyber и GreyNoise связывают с подозреваемым русскоязычным оператором. Ключевая особенность кампании — использование генеративного ИИ и автономных агентов: вместо ручного написания эксплойтов злоумышленник поручил ИИ-агентам автоматически подбирать полезную нагрузку под конкретные версии и конфигурации PaperCut. Такой подход резко снижает порог входа для атакующего и позволяет масштабировать эксплуатацию на сотни целей одновременно.

Пострадали более 440 инстансов PaperCut NG/MF. Продукт широко используется в корпоративной среде для управления печатью и часто имеет интеграции с Active Directory, почтовыми серверами и системами документооборота, что делает его компрометацию особенно опасной.

Что делать

Организациям, использующим PaperCut NG/MF, рекомендуется:

• срочно проверить наличие обновлений безопасности от вендора и установить их без отлагательств;
• убедиться, что серверы PaperCut не доступны напрямую из интернета — доступ должен быть ограничен доверенными сетями или VPN;
• проверить журналы на предмет обращений с IP 45.142.193[.]132 и других подозрительных адресов;
• включить MFA для административных учётных записей и ограничить их число;
• провести проверку на предмет веб-шеллов и иных артефактов компрометации, а также ротацию учётных данных, если есть признаки вторжения;
• обеспечить мониторинг подозрительной активности на серверах печати, включая необычные процессы и сетевые соединения.

Инцидент наглядно демонстрирует, что искусственный интеллект становится полноценным инструментом атакующих: он ускоряет разработку эксплойтов и позволяет атаковать сотни систем одновременно. Для защитников это означает необходимость ускорять патч-менеджмент, сегментировать критичные сервисы и внимательно отслеживать аномалии, связанные с ИИ-генерируемыми векторами атак.

Источник: The Hacker News