脅威アクターがPaperCut NG/MFに存在する2件の重大な脆弱性、CVE-2026-81578とCVE-2026-82078を積極的に悪用しています。
これらのエクスプロイトを使えば、攻撃者は印刷管理サーバーを乗っ取り、認証情報を窃取した上で、企業ネットワーク内にMeterpreterのペイロードを展開できます。
Arctic WolfのアナリストJens Pose氏とRoss Phillips氏の報告によると、これらの侵入はリモートでのコマンド実行から偵察、認証情報の収集、そして特権アカウントの作成試行へと段階的に進行したとのことです。
今回の事案は、インターネットに露出したPaperCutインフラに伴うリスクを改めて浮き彫りにしています。同インフラは以前にも、別の脆弱性を突かれてLockBitランサムウェアの配布に悪用された経緯があります。
PaperCut NG/MFの脆弱性
PaperCutは2026年8月27日、これらの脆弱性が実際に悪用されていることを開示しました。識別子は翌日に割り当てられ、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は8月31日に両問題を既知の悪用された脆弱性(KEV)カタログに追加しました。
Arctic Wolfのテレメトリによると、攻撃者はシステム侵害後に`uname`、`whoami`、`ver`、`tasklist`といった基本的なホストプロファイリングコマンドを実行していました。
さらに、Administrator17という名前の特権ローカルアカウントの作成も試みており、これは防御側が最初のWebアクセス経路を遮断した場合でも、安定した管理者権限の足がかりを確保できるものです。
調査担当者は、IPアドレス45.142.193.132からの受信GETリクエストが、侵害されたシステム上の`/custom/pcp_*.txt`および`/custom/web/pcp_*.txt`のパスを標的にしていることを検知しました。
これらのファイルには収集済みのシステム情報やユーザーデータが含まれており、攻撃者がPaperCutサーバーを利用してこうした情報を収集・取得していたことがうかがえます。
同じインフラは、`certutil`経由で`lsa_collect.exe`、`lsa_collect_small.exe`、`save_hives.exe`も配布していました。サンドボックス解析の結果、`lsa_collect.exe`はWindowsのBootKeyを再構築するために必要なレジストリキーを抽出していたことが判明しています。
このステップにより、SAMデータベースへのアクセスが可能になり、攻撃時のオフラインでのパスワードクラッキング作業が容易になります。
さらに脅威アクターは、IPアドレス194.180.48.134からJava版Meterpreterのコンポーネントをダウンロードし、同ホストへのセッションを確立していました。取得されたオブジェクトの一つは`Metasploit/Meterpreter JarFileClassLoader.class`というパス下で見つかっており、悪用後もインタラクティブな制御を維持しようとする意図がうかがえます。
その後、攻撃者はPaperCutの設定ファイル(`*.config`)内で「password」「secret」「ldap」「bind」「token」といった機微な語句を検索していました。
これら一連の行動は、迅速な偵察、認証情報の窃取、設定情報の探索、そしてリモートアクセスツールを組み合わせた、拡張性の高い侵害の連鎖を形成しています。
防御側は、PaperCutの`server.log`を確認し、`jdbc:derby:memory:pwn;create=true`、`VALUES CAST`に関するDatabaseUtilsエラー、`jdbc:no:x`、`VALUES CAST(X’cafebabe`といったマーカーを含む悪用の痕跡文字列がないか調査すべきです。
セキュリティチームは、PaperCutのディレクトリ内に、`.class`、`.cmd`、`.out`といった拡張子を持つ、異常に短い(5文字程度の)ファイルが存在しないかも確認する必要があります。
エンドポイント検知では、`pc-app.exe`が`cmd.exe`やPowerShell、その他のインタプリタを起動するケースにフラグを立てるべきです。その際、後の解析に備えてコマンドライン全体とネットワーク接続の記録を保持しておく必要があります。`pc-app.exe`を親プロセスとする`whoami`、`tasklist`、`ver`、`uname -a`の実行を検索することで、これまで見落とされていたハンズオンキーボード型の攻撃活動を迅速に特定できます。
対応チームは、エンドポイントのテレメトリ上に`lsa_collect.exe`、`lsa_collect_small.exe`、`save_hives.exe`が存在していないか、それぞれのSHA-256ハッシュとあわせて調査すべきです。
また、Administrator17アカウントの作成や、PaperCutが異常な挙動を検知した直後に出現した他の予期しない管理者アカウントの兆候がないか、アカウント管理ログを確認する必要があります。Webおよびファイルアクセスログからは、pcpテキストファイルへのリクエスト、大容量のダウンロード、`python-requests/2.32.5`というユーザーエージェントの痕跡が見つかる可能性があります。
各組織には、PaperCutの管理インターフェースへの直接のインターネットアクセスを制限し、ベンダー推奨の修正を適用し、既知の悪意あるインフラをブロックした上で、露出したサーバーに侵入の持続化、認証情報の窃取、横展開の痕跡がないか調査することが推奨されます。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングを把握しましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/hackers-exploit-papercut-ng-mf-flaws/
