🔍 Contexte

Publié le 9 septembre 2026 par GreyNoise, cet article de threat intelligence documente une campagne d’exploitation opportuniste à grande échelle contre PaperCut NG/MF, un logiciel de gestion d’impression Java auto-hébergé tournant par défaut avec des privilèges SYSTEM sur Windows. La campagne a été observée via le Global Observation Grid (GOG) de GreyNoise.

🎯 Acteur et outillage IA

Un acteur malveillant russophone a utilisé l’adresse IP 45.142.193.132 (suivie depuis début juillet 2026) pour orchestrer la campagne. L’acteur a exploité des agents IA basés sur OpenAI Codex (comme harnais) et un modèle DeepSeek pour développer, tester et déployer des exploits contre deux nouvelles vulnérabilités : CVE-2026-81578 et CVE-2026-82078. La construction des listes de cibles a été réalisée via le service de scan internet Netlas.io avec une clé API identifiée.

⚡ Chronologie et impact

  • 31 août 2026 : début de la campagne
  • < 4 heures : de l’espace de travail vide au premier RCE sur une victime réelle
  • + 2 heures : premier Domain Admin obtenu
  • 26 secondes : 11 organisations compromises simultanément après lancement complet
  • 7 minutes : temps record de l’accès initial au Domain Admin complet (contre un lycée américain)
  • 440 instances PaperCut MF/NG compromises dans 395 organisations réparties dans 48 pays
  • 280 victimes avec credential harvesting, 147 avec secrets OS/domaine, 12 avec Domain Admin

🛣️ Chemins d’attaque post-exploitation

  • Path A : Dump mémoire LSASS + secrets registre → Pass-the-Hash vers le contrôleur de domaine
  • Path B : Exploitation de CVE-2021-42278 et CVE-2021-42287 (attaque noPac)
  • Path C : Ajout direct au groupe Domain Admins si PaperCut tourne sur le DC ou en tant que compte Domain Admin
  • Dans tous les cas : DCSync pour dump complet de NTDS.DIT

🏭 Victimologie

Les secteurs les plus touchés sont :

  • Éducation : 204 victimes (dont 7 Domain Admin)
  • Retail/Commercial/Services professionnels : 38 victimes
  • Immobilier/Coworking/Hôtellerie : 29 victimes
  • IT/MSP : 25 victimes

Pays les plus touchés : États-Unis (98), Royaume-Uni (59), France (31), Espagne (31), Canada (24).

L’acteur avait une liste de 28 pays à éviter (dont la Russie, la Chine, l’Ukraine, etc.) mais des déviations ont été observées.

🛡️ Élément notable

Dans au moins un cas, le WAF Cloudflare a bloqué l’exploitation. La campagne reste potentiellement un vecteur d’accès initial pour des opérations ultérieures (ransomware, exfiltration de données).

📄 Type d’article

Il s’agit d’une analyse de menace publiée par GreyNoise, visant à documenter une campagne active, partager des IOCs et alerter les organisations potentiellement victimes.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1078 — Valid Accounts (Defense Evasion)
  • T1003.001 — OS Credential Dumping: LSASS Memory (Credential Access)
  • T1003.002 — OS Credential Dumping: Security Account Manager (Credential Access)
  • T1003.003 — OS Credential Dumping: NTDS (Credential Access)
  • T1550.002 — Use Alternate Authentication Material: Pass the Hash (Lateral Movement)
  • T1136 — Create Account (Persistence)
  • T1098.007 — Account Manipulation: Additional Local or Domain Groups (Privilege Escalation)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1560 — Archive Collected Data (Collection)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1572 — Protocol Tunneling (Command and Control)
  • T1595 — Active Scanning (Reconnaissance)
  • T1588.002 — Obtain Capabilities: Tool (Resource Development)

IOC

  • IPv4 : 45.142.193.132 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 45.158.196.75 — AbuseIPDB · VT · ThreatFox
  • URLs : http://45.142.193.132:8000/lsa_collect.exe — URLhaus
  • URLs : http://45.142.193.132:8089/agent5.exe — URLhaus
  • MD5 : 528cd4e69ecfa5191adbcf6ef28667bf — VT · MalwareBazaar
  • MD5 : ce870a91e8d27e8f663f0687abc60b04 — VT · MalwareBazaar
  • MD5 : a6437ac3d6798090a218520985d36a3f — VT · MalwareBazaar
  • MD5 : fc92dfafa7aa741c5f2b9cbcf75d1d19 — VT · MalwareBazaar
  • MD5 : 974decb9ff4c8f9ccb0937c96d513347 — VT · MalwareBazaar
  • CVEs : CVE-2026-81578 — NVD · CIRCL
  • CVEs : CVE-2026-82078 — NVD · CIRCL
  • CVEs : CVE-2021-42278 — NVD · CIRCL
  • CVEs : CVE-2021-42287 — NVD · CIRCL
  • CVEs : CVE-2023-27532 — NVD · CIRCL
  • Fichiers : lsa_read.exe
  • Fichiers : save_hives.exe
  • Fichiers : collect_custom.exe
  • Fichiers : lsa_collect_small.exe
  • Fichiers : certipy.exe
  • Fichiers : ligolo-agent.exe
  • Fichiers : lsa_collect.exe
  • Fichiers : agent5.exe
  • Fichiers : legit-svc.exe
  • Fichiers : legit-svc-backup.exe
  • Chemins : C:\Windows\Temp\pc-sys.hiv
  • Chemins : C:\Windows\Temp\pc-sec.hiv
  • Chemins : C:\Windows\Temp\pc-security.hiv
  • Chemins : C:\Windows\Temp\pc-system.hiv
  • Chemins : C:\ProgramData\pc-sys-reg.hiv
  • Chemins : C:\Windows\Temp\pc-*.b64
  • Chemins : C:\ProgramData\ligolo-agent.exe
  • Chemins : C:\ProgramData\LegitSvc\legit-svc.exe
  • Chemins : C:\ProgramData\LegitSvc\legit-svc-backup.exe
  • Chemins : C:\Windows\Temp\pc-system.b64
  • Chemins : C:\Windows\Temp\pc-security.b64
  • Chemins : C:\Windows\Temp\lsa_collect.exe

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 11 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Mimikatz (tool)
  • SharpHound (tool)
  • Certipy (tool)
  • BloodHound (tool)
  • Rubeus (tool)
  • Impacket (framework)
  • NetExec (tool)
  • SpoolSample (tool)
  • BloodHound.py (tool)
  • Seatbelt (tool)
  • Certify (tool)
  • SharpSploit (framework)
  • Empire (framework)
  • VeeamDumper (tool)
  • SharpVeeamDecryptor (tool)
  • EDR2trash (tool)
  • Disable-TamperProtection (tool)
  • AMSI Bypass PowerShell (tool)
  • Ligolo-ng (tool)
  • lsa_read.exe (tool)
  • save_hives.exe (tool)
  • collect_custom.exe (tool)
  • lsa_collect_small.exe (tool)

🟢 Indice de vérification factuelle : 78/100 (haute)

  • ✅ greynoise.io — source reconnue (liste interne) (20pts)
  • ✅ 13908 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 36 IOCs dont des hashes (15pts)
  • ✅ 1/4 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 14 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 45.142.193.132 (ip) → AbuseIPDB (100% confiance, 388 signalements) + VT (20/89 détections)

🔗 Source originale : https://www.greynoise.io/blog/ai-orchestrated-campaign-against-papercut-ng-mf