Failles PaperCut : des agents IA compromettent 395 organisations

Une campagne lancée le 31 août, révélée le 10 septembre

La société de renseignement sur les menaces GreyNoise a documenté une campagne d’exploitation qui a débuté le 31 août 2026 et visait les serveurs PaperCut NG/MF vulnérables. L’information a été publiée le 10 septembre par Bleeping Computer, qui relaie l’analyse de GreyNoise.

Deux vulnérabilités sont en cause, CVE-2026-81578 et CVE-2026-82078, toutes deux signalées comme activement exploitées plus tôt dans le mois. La particularité de cette campagne ne tient pas aux failles elles-mêmes, mais à la manière dont elles ont été armées : des centaines d’agents IA ont été chargés de construire, tester et affiner les exploits, en combinant le modèle Codex d’OpenAI et des modèles DeepSeek avec des outils offensifs courants. Les mêmes agents ont constitué les listes de cibles via la plateforme de scan et de découverte Netlas.

Quatre heures d’un espace de travail vide à la première victime

Les chiffres de rapidité rapportés par GreyNoise sont ce qui distingue cette opération d’une campagne d’exploitation classique. Moins de quatre heures se sont écoulées entre un espace de travail vide et la première exécution de code à distance obtenue contre une victime réelle, puis deux heures de plus jusqu’au premier compte administrateur de domaine. Une fois la campagne complète lancée, au moins onze organisations ont été compromises en vingt-six secondes. Dans un cas, contre un lycée aux États-Unis, le passage de l’accès initial au contrôle complet du domaine a pris sept minutes.

GreyNoise souligne que ce type d’attaque laisse aux défenseurs des marges de réaction très réduites. C’est l’enseignement opérationnel : les procédures de réponse calibrées sur des heures de détection ne couvrent pas une campagne qui atteint des dizaines de cibles en moins d’une minute.

Du serveur d’impression au contrôleur de domaine

Après l’exploitation de PaperCut, les chercheurs ont observé trois chemins de progression. Le premier consiste à extraire la mémoire du processus LSASS et les secrets du registre sur les serveurs PaperCut joints à un domaine, puis à rejouer les empreintes de mots de passe récupérées contre les contrôleurs de domaine — une attaque dite pass-the-hash. Le deuxième utilise la technique noPac contre les environnements encore vulnérables à CVE-2021-42278 et CVE-2021-42287. Le troisième, le plus direct, ajoute un compte nouvellement créé au groupe Domain Admins lorsque PaperCut tourne sur un contrôleur de domaine ou sous un compte de service administrateur de domaine.

Dans tous les cas, la technique DCSync a servi à obtenir un export complet du fichier NTDS.DIT, c’est-à-dire l’ensemble des identifiants du domaine. La boîte à outils employée est celle de l’intrusion classique : Ligolo-ng, Mimikatz, Certipy, BloodHound, Rubeus, Impacket, NetExec, complétés par des utilitaires de collecte d’identifiants écrits en Rust.

Un bilan de 395 organisations, surtout dans l’éducation

Les données de GreyNoise font état d’au moins 440 instances PaperCut compromises, rattachées à 395 organisations distinctes dans 48 pays. Des identifiants ont été récupérés chez 280 victimes, des secrets de système d’exploitation ou de domaine chez 147, et des privilèges administrateur obtenus dans 12 organisations. Le secteur éducatif représente environ la moitié des compromissions. Les États-Unis sont le pays le plus touché, devant le Royaume-Uni, la France, l’Espagne et le Canada.

L’attaquant avait fourni à ses agents une liste de pays à éviter — Russie, Chine, Iran, Ukraine, Biélorussie, Moldavie, Brésil et Afrique du Sud — que les agents n’ont pas respectée de façon constante. GreyNoise n’a pas pu déterminer l’objectif final de la campagne, mais relève que les accès obtenus peuvent servir au vol de données comme à une opération de rançongiciel.

Les administrateurs concernés sont invités à appliquer sans attendre les correctifs d’urgence publiés par PaperCut pour les deux vulnérabilités et à suivre les recommandations de l’éditeur. Dans les environnements où le serveur était joint au domaine, la remise en état ne s’arrête pas au correctif : les identifiants du domaine doivent être considérés comme exposés.