Analistas da eSentire investigaram um ataque que encadeou dois zero days no PaperCut MF, as CVE-2026-81578 e CVE-2026-82078, para sair de um servidor de impressão exposto na internet e chegar ao controlador de domínio de um cliente do setor de educação em menos de dois dias.
A entrada foi pelo campo de consulta de cartão ou crachá. Por ali os invasores entregaram código Java malicioso, o que permitiu alterar configurações sem autenticação e executar bytecode arbitrário na versão 24.0.2 do produto.
O primeiro estágio foi um carregador que remontava fragmentos do payload na memória, iniciava a etapa seguinte e apagava os próprios arquivos, preparado para funcionar em diferentes versões do Tomcat.
Em seguida veio um web shell que recebia comandos por um cabeçalho HTTP próprio, lia configurações e apagava rastros de log. Ele se posicionava cedo na cadeia de processamento das requisições, o que também barrava tentativas de exploração de outros grupos.
O implante de comando e controle era o AdaptixC2, escondido dentro de um binário modificado do Microsoft Copilot e baixado de infraestrutura na Alibaba Cloud. Depois do primeiro contato ele ficou quieto por cerca de 24 horas, até os operadores voltarem para o trabalho manual.
A escalada de privilégio não usou senha. Os invasores encontraram uma conta de serviço com privilégio de domínio rodando como processo ativo, copiaram o token de acesso e relançaram o implante com os direitos dessa conta.
No controlador de domínio, o payload chegou por compartilhamento administrativo e foi executado por uma alteração no serviço PlugPlay do Windows, com o caminho legítimo restaurado logo depois para reduzir vestígios. O grupo extraiu credenciais da memória e do registro, habilitou o modo Restricted Admin, usou um hash NTLM para acessar por RDP e copiou a base do Active Directory, com as senhas de todas as contas do domínio.
