A PaperCut está alertando que hackers estão explorando ativamente uma vulnerabilidade em todas as versões de seus softwares de gerenciamento de impressão PaperCut NG e PaperCut MF em ataques do tipo zero-day. A empresa afirmou estar ciente de ataques confirmados a clientes e publicou um comunicado de segurança urgente nesta quinta-feira.
A PaperCut afirma que a vulnerabilidade afeta todas as versões do NG e MF, mas não compartilhou detalhes sobre a falha ou como ela está sendo explorada. A empresa disse que sua equipe de segurança reproduziu a vulnerabilidade usando informações fornecidas por um cliente universitário. A PaperCut publicou patches de emergência para clientes com servidores NG/MF expostos publicamente.
Recomendações e indicadores
A empresa continua alertando os clientes cujos servidores de aplicação estão expostos à internet para que usem regras de firewall ou controles de acesso à rede para restringir suas interfaces web a endereços IP confiáveis. “Este é um patch de emergência para clientes com servidores PaperCut NG/MF voltados para o público que não podem tomar outras medidas de mitigação”, diz o comunicado.
A PaperCut também compartilhou indicadores de comprometimento que podem indicar se um servidor foi comprometido, incluindo atividade suspeita do processo legítimo pc-app.exe e arquivos server.log que foram modificados, excluídos ou estão faltando. Os administradores também devem procurar erros específicos no log. No entanto, a PaperCut alerta que a ausência de indicadores não significa que um servidor não foi comprometido.
Histórico de ataques
A PaperCut tem um histórico de ser alvo de agentes de ameaças após a divulgação de vulnerabilidades de segurança. Em abril de 2023, os atacantes começaram a explorar a vulnerabilidade crítica CVE-2023-27350, que permitia que atacantes não autenticados contornassem a autenticação e executassem código remotamente em servidores vulneráveis. A Microsoft vinculou alguns desses ataques à operação de ransomware Clop, que usou servidores PaperCut vulneráveis para acesso inicial a redes corporativas, e também observou intrusões que levaram a ataques de ransomware LockBit.
A empresa não divulgou quem está por trás dos ataques, o que os atacantes estão fazendo após comprometer os servidores ou se os dados estão sendo roubados. A empresa afirma que continuará atualizando seu comunicado com indicadores adicionais de comprometimento e orientações de remediação.
