Publicado en

Ciberataques a PaperCut: Instituciones educativas en el punto de mira por robo de credenciales

•Publicado enCiberataques

El sector educativo bajo asedio: Explotación de vulnerabilidades en PaperCut

Recientes informes de inteligencia de amenazas han revelado una campaña activa que explota vulnerabilidades críticas en el software de gestión de impresión PaperCut. Los atacantes están centrando sus esfuerzos en el sector educativo, afectando a instituciones que van desde escuelas de educación primaria hasta grandes universidades en Estados Unidos y Europa.

Análisis técnico: La cadena de explotación

El equipo de investigación de Arctic Wolf ha identificado que los actores de amenazas están encadenando dos fallos de seguridad específicos: CVE-2026-81578 (omisión de autenticación) y CVE-2026-82078 (ejecución remota de código o RCE). Esta combinación permite a un atacante no autenticado tomar el control del servidor y ejecutar comandos con privilegios elevados.

Una vez que logran el acceso inicial, los atacantes realizan actividades de post-explotación que incluyen:

  • Reconocimiento del sistema: Ejecución de comandos como whoami, tasklist y uname para identificar usuarios y procesos activos.
  • Robo de credenciales: Uso de herramientas especializadas como lsa_collect.exe y save_hives.exe para extraer claves del registro de Windows y reconstruir la base de datos SAM, obteniendo así acceso a las contraseñas del sistema.
  • Despliegue de payloads: Instalación de cargas útiles de Java relacionadas con Metasploit/Meterpreter para establecer sesiones de control remoto persistentes.
  • Búsqueda de datos sensibles: Escaneo de archivos de configuración en busca de términos como «password», «secret», «ldap» y «token».

¿Por qué es crítico para su organización?

Desde la perspectiva empresarial y de gestión de riesgos, el compromiso de un servidor PaperCut no se limita solo a la infraestructura de impresión. El objetivo real de estos ataques es el robo de identidades. Una vez que los atacantes obtienen credenciales privilegiadas, pueden desplazarse lateralmente por la red corporativa, accediendo a sistemas de gestión académica, bases de datos de estudiantes y recursos financieros institucionales.

Recomendaciones de seguridad de Intedya

Para mitigar el riesgo asociado a estas vulnerabilidades, recomendamos a los responsables de TI y seguridad de la información tomar las siguientes medidas inmediatas:

  1. Restringir la exposición: Asegúrese de que los servidores de PaperCut no sean accesibles directamente desde internet. Utilice conexiones VPN o pasarelas de acceso seguro.
  2. Monitoreo proactivo: Supervisar la ejecución de procesos como cmd.exe o powershell.exe cuando su proceso padre sea pc-app.exe (el ejecutable principal de PaperCut).
  3. Actualización de parches: Aplicar de manera urgente las actualizaciones de seguridad proporcionadas por el fabricante para las versiones NG y MF.
  4. Auditoría de cuentas: Revisar la creación de cuentas con privilegios administrativos no autorizadas (se ha detectado el uso frecuente del nombre de usuario «Administrator17»).

En Intedya, recordamos que la ciberseguridad en el sector educativo es fundamental para proteger la privacidad de los datos de menores y la propiedad intelectual de las universidades. La prevención y el cumplimiento de normativas de seguridad son la mejor defensa ante un panorama de amenazas en constante evolución.

Fuentes