PaperCut è il software con cui scuole, università, enti pubblici e aziende gestiscono stampanti, quote e costi di stampa. È il tipo di server che nessuno guarda finché le stampe funzionano, e che proprio per il suo ruolo ha accesso a gran parte della rete. Il 19 aprile il produttore ha confermato che una vulnerabilità critica, corretta a marzo, viene sfruttata attivamente. Le prime attività sospette risalgono al 14 aprile.
La falla principale è la CVE-2023-27350, gravità 9,8 su 10. Un errore nel controllo degli accessi permette di aggirare l’autenticazione e diventare amministratore dell’applicazione; da lì, con le funzioni di scripting integrate, l’attaccante esegue codice sul server con i privilegi di SYSTEM. Una seconda vulnerabilità, la CVE-2023-27351, consente sempre senza autenticazione di leggere le informazioni sugli utenti salvate in PaperCut, come nomi, email e reparti. Sono coinvolti PaperCut MF e NG dalla versione 8.0 in poi; le versioni corrette sono la 20.1.7, la 21.2.11 e la 22.0.9.
Nei casi analizzati, dopo l’accesso gli attaccanti hanno usato PowerShell per installare software legittimi di assistenza remota, così da restare sul server anche dopo l’aggiornamento. Gli exploit sono pubblici, e l’agenzia statunitense per la cybersicurezza ha aggiunto la falla al catalogo delle vulnerabilità sfruttate. Microsoft attribuisce parte degli attacchi a un gruppo legato a Cl0p e ad affiliati di LockBit: il server di stampa diventa il primo passo verso il furto di dati e il ransomware.
Aggiorna subito il server applicativo PaperCut. Se non puoi farlo, limita l’interfaccia di amministrazione agli IP dei server di gestione, e in nessun caso lasciarla raggiungibile da Internet.
Poi verifica che nessuno sia già entrato. Apri la sezione degli script delle stampanti e cerca modifiche che non riconosci. Cerca strumenti di accesso remoto installati di recente senza autorizzazione e processi PowerShell avviati dal servizio PaperCut. Se trovi tracce, considera il server compromesso: ricostruiscilo e cambia le credenziali che vi erano salvate o in uso.
La prossima volta che fai l’elenco dei sistemi critici, controlla se il server di stampa c’è. Se manca, questa storia è un buon motivo per aggiungerlo.
