Uma campanha global de ciberataques direcionada a servidores PaperCut NG/MF comprometeu centenas de organizações em dezenas de países através do uso massivo de inteligência artificial autónoma. Segundo revelou a empresa de cibersegurança GreyNoise, o atacante, provavelmente de expressão russa, recorreu a centenas de agentes de IA para desenvolver, testar e aperfeiçoar explorações contra duas falhas de segurança críticas no software.
A operação teve início a 31 de agosto e combinou modelos de linguagem como o Codex da OpenAI e o DeepSeek com ferramentas ofensivas convencionais. Além disso, os agentes automatizados geraram listas de alvos através da plataforma de varrimento de rede Netlas.
Velocidade inédita e automação em escala
A utilização de agentes inteligentes permitiu ao atacante executar ações a um ritmo sem precedentes, reduzindo drasticamente a margem de resposta das equipas de defesa. De acordo com os dados recolhidos, o agente malicioso levou menos de 4 horas a passar de um ambiente totalmente limpo para a primeira execução remota de código num alvo real. Apenas 2 horas mais tarde, obteve privilégios de administrador de domínio.
Durante o pico da campanha, a infraestrutura automatizada conseguiu comprometer pelo menos 11 organizações em apenas 26 segundos. Num caso específico registado numa escola secundária nos EUA, a transição do acesso inicial até ao controlo total do domínio demorou escassos 7 minutos.
Escopo global e vetores de ataque utilizados
No total, a campanha afetou pelo menos 440 instâncias do PaperCut associadas a 395 organizações distintas distribuídas por 48 países. O setor da educação foi o mais atingido, representando cerca de metade de todas as intrusões. Entre os países mais visados destacam-se os Estados Unidos, Reino Unido, França, Espanha e Canadá. O atacante definiu uma lista de países a evitar, incluindo Rússia, China, Irão, Ucrânia, Bielorrússia, Moldávia, Brasil e África do Sul, embora os agentes de IA nem sempre tenham cumprido essa instrução.
Durante as intrusões, os investigadores observaram três caminhos distintos de ataque após a exploração inicial das vulnerabilidades CVE-2026-81578 e CVE-2026-82078:
Extração da memória LSASS e do registo de sistemas associados ao domínio, seguida de ataques do tipo "pass-the-hash";
Exploração do vetor "noPac" em ambientes ainda vulneráveis às falhas antigas CVE-2021-42278 e CVE-2021-42287;
Criação direta de novas contas no grupo de administradores de domínio quando o serviço PaperCut era executado num controlador de domínio.
Em todos os cenários, foi aplicada a técnica DCSync para extrair a base de dados NTDS.DIT completa com credenciais do domínio. O conjunto de ferramentas incluiu utilitários como Ligolo-ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket, NetExec e ferramentas personalizadas desenvolvidas em Rust.
Os dados recolhidos indicam o roubo de credenciais em 280 vítimas, a obtenção de segredos de sistema operativo ou domínio em 147 entidades e privilégios administrativos em 12 organizações. Embora o objetivo final da campanha permaneça incerto, os acessos podem ser aproveitados para extorsão ou roubo de dados. Recomenda-se a aplicação imediata das atualizações de emergência disponibilizadas pela PaperCut.
Nenhum comentário
Seja o primeiro!