Un serveur d’impression compromis : 395 organisations dans 48 pays touchées par des agents IA
Un lycée américain a récemment subi une attaque où, en seulement sept minutes, un compte administrateur du domaine Active Directory a été compromis. Des centaines d’agents IA ont exploité deux vulnérabilités dans les solutions PaperCut NG et MF, compromettant au moins 440 serveurs chez 395 organisations à travers 48 pays, dont la France, avec 31 victimes recensées.
Fin août 2026, PaperCut a publié d’urgence deux correctifs pour ses solutions NG et MF afin de remédier à la CVE-2026-81578 (contournement de l’authentification) et la CVE-2026-82078 (exécution de code Java arbitraire). Un rapport de Huntress avait déjà signalé des signes d’exploitation de ces failles. Ce qui était inattendu, c’est l’automatisation de cette vulnérabilité à grande échelle par des agents IA.
Les solutions PaperCut NG et MF, qui fonctionnent par défaut avec des privilèges SYSTEM sous Windows et sont souvent intégrées à un domaine Active Directory, représentent des cibles attrayantes pour les attaquants. En compromettant le serveur d’impression, ils établissent un premier accès au domaine.
Un rapport intitulé « Agents Gone Wild » publié par GreyNoise décrit une campagne d’exploitation ciblant ces vulnérabilités. Tout a commencé avec l’adresse IP 45.142.193.132, suivie par GreyNoise depuis début juillet 2026, qui a été associée à des attaques contre des équipements variés. Le 31 août 2026, cette adresse a ciblé PaperCut.
Pour mener cette exploitation à grande échelle, l’attaquant a utilisé des centaines d’agents IA, basés sur le modèle Codex d’OpenAI, mais alimentés par un modèle DeepSeek, provenant de Chine. Selon GreyNoise, « les grands modèles linguistiques (LLM) permettent aux acteurs malveillants d’agir plus rapidement et à plus grande échelle ».
L’attaquant a utilisé une boîte à outils offensive comprenant des outils de cybersécurité tels que Mimikatz et BloodHound, orchestrés par l’IA à une vitesse inégalée. Selon le rapport, l’attaquant a réussi à passer d’un espace de travail vide à une première exécution de code à distance en moins de quatre heures, et à compromettre au moins 11 organisations en 26 secondes.
L’attaquant avait établi une liste de 28 pays à éviter, incluant la Russie et la Chine, mais des organisations en Chine, au Kazakhstan et au Brésil ont tout de même été touchées, indiquant des erreurs dans le ciblage. Sur les 440 instances compromises, des identifiants ont été récupérés dans 280 organisations, tandis que le statut d’administrateur du domaine a été atteint dans seulement 12 cas.
Trois méthodes ont été utilisées pour obtenir les privilèges d’administrateur du domaine : l’extraction de la mémoire du processus LSASS, l’exploitation de domaines non patchés, et l’installation de PaperCut sur le contrôleur de domaine. Dans chaque cas, une attaque DCSync a suivi pour récupérer l’intégralité de la base NTDS.dit.
Il est à noter qu’au moins une instance vulnérable a été protégée par le WAF de Cloudflare, soulignant l’importance d’un durcissement des mes de sécurité.
Sur le plan sectoriel, 204 des victimes appartiennent au secteur de l’éducation, avec des lycées parmi les cibles. Les États-Unis ont enregistré 98 organisations touchées, suivis par le Royaume-Uni (59), et la France et l’Espagne, chacune avec 31 victimes. L’objectif final de ces attaques reste incertain, qu’il s’agisse de revente d’accès, de vol de données ou de ransomware.
Il est fortement conseillé aux administrateurs de serveurs PaperCut NG ou MF d’appliquer les dernières mises à jour disponibles et de surveiller les indicateurs de compromission publiés par GreyNoise.
Source : GreyNoise
