Los atacantes aprovechan las vulnerabilidades de PaperCut para robar credenciales de colegios y universidades

Ci­ber­de­lin­cuen­tes están apro­ve­chan­do vul­ne­ra­bi­li­da­des re­cien­tes en Pa­per­Cut para robar cre­den­cia­les, en­fo­cán­do­se en ins­ti­tu­cio­nes edu­ca­ti­vas de Es­ta­dos Uni­dos y Eu­ro­pa. Según el equi­po de in­ves­ti­ga­ción de Ar­ctic Wolf, los agre­so­res uti­li­zan una com­bi­na­ción de fa­llas que in­vo­lu­cran la omi­sión de au­ten­ti­ca­ción y la eje­cu­ción re­mo­ta de có­di­go para rea­li­zar ta­reas de re­co­no­ci­mien­to, eje­cu­tar co­man­dos y ge­ne­rar cuen­tas con pri­vi­le­gios ele­va­dos.

Las ac­cio­nes pos­te­rio­res a la in­tru­sión de­tec­ta­das com­pren­den la uti­li­za­ción de he­rra­mien­tas en­fo­ca­das en la re­co­lec­ción del re­gis­tro de Win­dows, la des­car­ga de car­gas úti­les aso­cia­das a Me­tas­ploit y Me­ter­pre­ter, y el uso de co­man­dos para re­co­no­cer equi­pos, usua­rios, pro­ce­sos y con­fi­gu­ra­cio­nes sen­si­bles. Asi­mis­mo, se ha ob­ser­va­do la bús­que­da de tér­mi­nos clave como con­tra­se­ñas, se­cre­tos, di­rec­to­rios LDAP y to­kens en ar­chi­vos de con­fi­gu­ra­ción, ade­más de la crea­ción de cuen­tas de ad­mi­nis­tra­dor no au­to­ri­za­das.

La prin­ci­pal preo­cu­pa­ción de los ex­per­tos ra­di­ca en que estas cre­den­cia­les ro­ba­das pue­dan ser­vir como vía de ac­ce­so para que los ata­can­tes vul­ne­ren otros sis­te­mas crí­ti­cos den­tro de las redes afec­ta­das. Como me­di­da de pro­tec­ción, se re­co­mien­da evi­tar la ex­po­si­ción de los ser­vi­do­res Pa­per­Cut a in­ter­net y vi­gi­lar la eje­cu­ción de in­tér­pre­tes de co­man­dos y scripts cuan­do el pro­ce­so prin­ci­pal pro­ven­ga de la apli­ca­ción afec­ta­da.