LONDON (IT BOLTWISE) – Angreifer nutzen neu gemeldete PaperCut-Schwachstellen, um an Schulen und Universitäten in den USA und Europa Zugangsdaten auszuspähen. In den Beobachtungen wurden CVE-2026-81578 und CVE-2026-82078 für Authentifizierungsumgehung und eine Kette bis zur Codeausführung verwendet. Danach folgten Erkundungsschritte, das Anlegen privilegierter Konten sowie das Ausspielen von Tools zum Sammeln von Windows-Registrierungs-Hives. Betroffen sind laut Meldung sowohl K-12-Einrichtungen als auch große Hochschulen; empfohlen wird, PaperCut-Server nicht öffentlich ins Internet zu stellen und auf typische Command-Interpreter-Aktivität zu achten.
Neu gemeldete PaperCut-Schwachstellen sind offenbar zu einem funktionierenden Hebel geworden, um in Bildungseinrichtungen an Zugangsdaten zu gelangen. Laut Auswertung durch das Arctic Wolf Adversary Research Team richten sich Angriffe in den USA und in Teilen Europas gegen PaperCut-Server, die die betreffenden Lücken nicht gepatcht oder sonst nicht ausreichend abgesichert haben. Im Zentrum steht dabei nicht nur das reine Ausnutzen eines Bugs, sondern die anschließende Angriffskette: Sie beginnt mit dem Umgehen einer Authentifizierung, führt über eine mehrstufige Ausnutzung bis zur Ausführung von Kommandos und endet schließlich in der Einrichtung von Zugängen, die sich über weitere Systeme hinweg ausrollen lassen.
Technisch ordnet das Forschungsteam die Aktivitäten zwei konkret benannten Schwachstellen zu: CVE-2026-81578 wird als Authentication Bypass beschrieben, während CVE-2026-82078 die Kette bis zur Remote Code Execution ergänzt. Nachdem die Angreifer Zugriff auf die Umgebung haben, nutzen sie typische Post-Exploitation-Schritte, um die Lage zu verstehen und den nächsten Schadensschritt vorzubereiten. Dazu gehören Kommandos, mit denen sich Hosts, Benutzer, laufende Prozesse und auch sensible Konfigurationsdaten identifizieren lassen. Genannt werden unter anderem Discovery-Kommandos wie uname, whoami, ver und tasklist sowie das gezielte Erstellen privilegierter Konten, etwa mit dem Konto-Namen „Administrator17“.
Für die eigentliche Datenernte wirken die beobachteten Muster wie ein Baukasten aus etablierten Techniken. Aus dem Quell-Setup wurden offenbar Inbound-GET-Anfragen an kompromittierte Systeme dokumentiert, die gezielt Dateien wie „/custom/pcp_*.txt“ und „/custom/web/pcp_*.txt“ abrufen. In diesen Datenstrukturen sammeln Angreifer offenbar System- und Nutzerdaten ein, die sie anschließend für Credential-Harvesting weiterverarbeiten. Dazu passt, dass die Meldung auch den Einsatz von Tools nennt, die speziell auf das Windows-Umfeld und die Rekonstruktion von Authentifizierungsmaterial ausgelegt sind, etwa lsa_collect.exe, lsa_collect_small.exe und save_hives.exe.
Besonders relevant für Verteidiger ist der Weg, wie diese Werkzeuge in die Systeme gelangten. Nach den beschriebenen Beobachtungen wurden die Harvesting-Komponenten über certutil.exe von einer angegebenen IP-Adresse nachgeladen und anschließend in der Zielumgebung ausgeführt. Ebenso wird das Abrufen von Meterpreter-bezogenen Java-Payloads erwähnt sowie das Herstellen von Sessions zu weiteren Prozess- und Systemschritten. In der Praxis bedeutet das: Selbst wenn das initiale Exploit-Triggering schwer zu erkennen ist, hinterlässt der Ablauf relativ konsistente Spuren in Form von Downloadern, Interpreter-Aufrufen und Folgekommandos wie findstr, das nach Zeichenketten in PaperCut-Konfigurationsdateien sucht, darunter „password“, „secret“, „ldap“, „bind, v und „token“.
Ein weiterer Baustein der Angriffskette betrifft das Aushebeln von Schutzbarrieren, die sich durch reine Kontoauskünfte noch nicht überwinden lassen. Das Team beschreibt, dass lsa_collect.exe in einer Sandbox-Ablaufumgebung Aktivitäten auslöste, die bestimmte Registry-Keys extrahierten, um BootKey-Informationen zur Rekonstruktion vorzubereiten. Dieser BootKey kann dem Angreifer dabei helfen, die SAM-Datenbank gezielt zu entschlüsseln oder in nutzbarer Form weiterzuverwenden. Die zentrale Sicherheitsimplikation dahinter: Gestohlene Logins sind selten „nur“ ein Datenleck. Sie schaffen in der Regel einen neuen Vertrauensanker, mit dem Angreifer später lateral in andere kritische Systeme der Organisation vordringen können.
Auch die empfohlenen Gegenmaßnahmen spiegeln diese reale Angriffssystematik wider. Nutzer sollen PaperCut-Server so absichern, dass sie nicht direkt aus dem Internet erreichbar sind, und sie sollen Monitoring auf die Ausführung von cmd.exe, powershell.exe oder anderen Scripting- und Command-Interpretern aktivieren. Darüber hinaus nennt die Meldung als Erkennungsanker Kommandostrings bzw. typische Nutzlastmuster wie whoami, tasklist, ver oder uname -a – besonders dann, wenn sie als Aktivitäten mit pc-app.exe im Prozessbaum auftauchen. Für Security-Teams heißt das praktisch: nicht nur nach „bekannt böse“-Hashes suchen, sondern auch nach dem Zusammenspiel aus anfälligem Anwendungskontext (PaperCut) und nachgelagerten Betriebssystem-Kommandos, die in diesem Kontext ungewöhnlich sind.
Markt- und Strategiekontext: Bildungseinrichtungen gelten oft als besonders attraktives Ziel, weil sie eine heterogene IT-Landschaft betreiben und in vielen Fällen ältere, stärker verwaltete Serverumgebungen einsetzen, die administrativ schwer zu standardisieren sind. Genau solche Umgebungen profitieren von Angriffen, die nicht sofort massiven Schaden verursachen, sondern zunächst Credentials ernten und Zugänge vorbereiten. Der Unterschied zwischen „Patchen und fertig“ und einem robusten Ansatz liegt hier darin, dass selbst nach der Behebung der Lücke die Post-Exploitation-Spuren und die möglichen persistierenden Effekte untersucht werden müssen: Kontenänderungen, neue Admin-Objekte, ungewöhnliche Downloader-Aktivität sowie das Sammeln von Hive- und Konfigurationsdaten sollten als Routinebestandteil einer Incident-Bewertung gelten.
Für Administratoren und CIOs folgt daraus eine klare Priorisierung. Erstens sollten PaperCut-Installationen zeitnah auf den Stand gebracht werden, der die betroffenen CVEs adressiert, und die Exponierung von Management- und Serverkomponenten ins offene Internet ist strikt zu begrenzen. Zweitens lohnt sich ein Blick auf Detection Engineering: Ereignisse, in denen pc-app.exe Elternprozess ist und daraufhin cmd.exe, PowerShell oder charakteristische Discovery-Kommandos laufen, lassen sich mit den in der Meldung genannten Mustern relativ gezielt abgleichen. Drittens sollten Unternehmen in der Bildungssparte ihre Credential-Hygiene überprüfen: Wo möglich, hilft die konsequente Trennung von Rollen, die Begrenzung von lokalen Admin-Rechten sowie das zeitnahe Rotieren betroffener Zugangsdaten, falls Hinweise auf Harvesting vorliegen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PaperCut-Schwachstellen: Angreifer stehlen Anmeldedaten an Schulen und Universitäten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PaperCut-Schwachstellen: Angreifer stehlen Anmeldedaten an Schulen und Universitäten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PaperCut-Schwachstellen: Angreifer stehlen Anmeldedaten an Schulen und Universitäten« bei Google Deutschland suchen, bei Bing oder Google News!