REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
GreyNoise décrit une campagne contre PaperCut NG/MF dans laquelle des agents IA ont soutenu la préparation et l’exécution. Le cas invite à examiner la vitesse de l’attaquant sans réduire le risque à la seule présence d’une IA.
Déroulement décrit par la source
- Le rapport associe la campagne à l’exploitation de CVE-2026-81578 et CVE-2026-82078 sur PaperCut NG/MF.
- Il décrit un développement et des essais dans un laboratoire contrôlé par l’adversaire avant le lancement contre des cibles.
- Les observations rapportées incluent des accès obtenus dans plusieurs organisations et, pour certaines, des privilèges d’administration de domaine.
Comprendre les mécanismes et les enseignements
- Leçon défensive : l’IA peut accélérer des tâches de recherche, de test et de suivi sans rendre l’ensemble de l’opération inédit. Pour une organisation, la priorité demeure de réduire les services exposés et le délai entre signalement, évaluation de l’applicabilité et traitement effectif.
- Un serveur de gestion d’impression peut posséder des accès qui dépassent largement sa fonction visible. Sa place dans le réseau et ses comptes de service doivent être examinés comme des chemins potentiels vers d’autres systèmes, plutôt que comme un simple périphérique bureautique.
Les vérifications défensives utiles
- Inventorier les installations PaperCut, leurs versions et leur exposition, puis consulter les avis de sécurité de l’éditeur pour déterminer les actions adaptées. Vérifier les restrictions réseau réellement appliquées plutôt que supposer qu’une interface d’administration est interne.
- Sur les systèmes exposés pendant la période concernée, rechercher les changements de comptes, les nouveaux services et les accès administratifs inhabituels. Étendre l’examen aux annuaires et hôtes atteignables depuis le serveur d’impression lorsque des traces de progression existent.
- Tester une procédure d’intervention rapide qui préserve les journaux et permet d’isoler le service sans improvisation. Documenter les dépendances de l’impression, les comptes utilisés et les conditions d’un retour en production afin de réduire les arbitrages sous pression.
Portée et limites
Les volumes de cibles et les délais rapportés décrivent le périmètre de l’enquête. Ils ne démontrent ni qu’une IA agit seule, ni que chaque instance vulnérable a été compromise ; cette publication ne fournit pas de procédure d’exploitation.
Rapport original
Agents Gone Wild: An AI-Orchestrated Global Campaign Against PaperCut NG/MF — GreyNoise.