PaperCut hat eine dringende Sicherheitswarnung herausgegeben: Eine bisher nicht näher bezeichnete Schwachstelle in allen Versionen der Druckmanagement-Software PaperCut NG und PaperCut MF wird derzeit in gezielten Zero-Dayaa-Angriffen aktiv ausgenutzt. Das Unternehmen bestätigt konkrete Vorfälle bei Kunden und stuft die Bedrohung als kritisch ein.
Zero-Day-Angriffe auf PaperCut NG und PaperCut MF: akute Bedrohung für Unternehmen
Die Sicherheitslücke betrifft sämtliche Versionen von PaperCut NG und PaperCut MF, wie das Unternehmen in einem am Donnerstag veröffentlichten Security Advisory mitteilt. PaperCut warnt eindringlich, dass Angreifer die Schwachstelle in freier Wildbahn ausnutzen. Das Sicherheitsteam konnte die Verwundbarkeit auf Basis von Informationen eines betroffenen Kunden aus dem Hochschulbereich reproduzieren. Bisher wurden keine konkreten Details zur genauen Art des Fehlers oder der Ausnutzungsmethode veröffentlicht.
Unternehmen mit einem über das Internet erreichbaren PaperCut Application Server werden angewiesen, umgehend restriktive Maßnahmen zu ergreifen. Die dringendste Empfehlung lautet, den Zugriff auf die Weboberflächen ausschließlich auf vertrauenswürdige IP-Adressen zu beschränken. Parallel dazu hat PaperCut einen ersten Notfall-Patch für Kunden mit öffentlich zugänglichen NG/MF-Servern bereitgestellt, die keine anderen Maßnahmen umsetzen können. Das Unternehmen betont, dass dieser Patch als letzte Option vorgesehen ist, falls eine Netzwerksegmentierung nicht möglich ist.
Indikatoren für eine Kompromittierung: worauf Administratoren achten müssen
PaperCut hat konkrete Indikatoren für eine mögliche Kompromittierung veröffentlicht. Administratoren sollten unverzüglich Systeme auf folgende Anzeichen einer Attacke prüfen. Zu den wichtigsten Warnsignalen zählt verdächtiges Verhalten des legitimen PaperCut-Prozesses pc-app.execodecodecode. Weiterhin müssen die server.logcodecodecode-Dateien auf ungewöhnliche Einträge untersucht werden:
- Modifizierte, gelöschte oder fehlende
server.logcodecodecode-Dateien - Die Fehlermeldung:
ERROR No suitable driver found for jdbc:no:xcodecodecode - Der Fehlerhinweis:
ERROR DatabaseUtils - Database error looking up cardID: VALUES CASTcodecodecode
PaperCut stellt jedoch klar, dass das Fehlen dieser Indikatoren nicht zwangsläufig bedeutet, dass ein System nicht kompromittiert wurde. Die Angreifer könnten ihre Spuren verwischen. Aktuell hat das Unternehmen noch keine Informationen darüber veröffentlicht, welche Akteure hinter den Attacken stecken, welche Ziele sie nach der Kompromittierung verfolgen oder ob Daten gestohlen werden.
Warum PaperCut-Server ein lohnendes Ziel für Angreifer sind
Druckmanagementserver wie PaperCut sind aus mehreren Gründen besonders attraktiv für Cyberkriminelle. Sie laufen häufig mit erhöhten Systemrechten und sind als zentrale Infrastrukturkomponente in Unternehmensnetzwerken positioniert. Ein erfolgreicher Zugriff auf den Application Server kann Angreifern einen privilegierten Einstiegspunkt in das gesamte Firmennetzwerk verschaffen. Dazu kommt, dass PaperCut Application Server aus betrieblichen Gründen oft direkt aus dem Internet erreichbar sein müssen, etwa um dezentrale Drucker oder externe Standorte anzubinden.
Historische Angriffswellen zeigen das Gefahrenpotenzial
PaperCut war bereits in der Vergangenheit mehrfach Ziel massiver Angriffswellen. Im April 2023 begannen Angreifer damit, die kritische Schwachstelle CVE-2023-27350 auszunutzen. Diese erlaubte es nicht authentifizierten Angreifern, die Authentifizierung zu umgehen und Remote-Code auf verwundbaren Servern auszuführen. Microsoft verband diese Angriffe später unter anderem mit der Clop-Ransomware-Gruppe, die PaperCut-Server als Einstiegspunkt für Erpressungsangriffe nutzte. Weitere Untersuchungen zeigten, dass auch die LockBit-Ransomware-Operation auf diese Schwachstelle zurückgriff.
Die Angriffswelle weitete sich schnell auf andere Bedrohungsakteure aus. Microsoft dokumentierte, dass sogar iranische staatlich unterstützte Hackergruppen die CVE-2023-27350 für ihre Operationen einsetzten. Im Mai 2023 warnten CISA und das FBI in einer gemeinsamen Mitteilung vor der Bl00dy-Ransomware-Bande, die gezielt PaperCut-Server im Bildungssektor angriff. Die Angreifer nutzten die Sicherheitslücke hauptsächlich, um ersten Zugang zu den Netzwerken der Opfer zu erhalten, weniger um direkt archivierte Dokumente von den PaperCut-Servern zu stehlen.
Welche konkreten Maßnahmen sollten betroffene Unternehmen jetzt ergreifen
Die Priorität für Administratoren liegt auf der sofortigen Sicherung des Application Servers. Der sicherste Weg ist die vollständige Unterbindung des Zugriffs aus dem Internet. Lässt sich der externe Zugriff nicht vermeiden, müssen restriktive Firewall-Regeln implementiert werden. Der von PaperCut bereitgestellte Notfall-Patch sollte umgehend eingespielt werden, sofern keine anderen Netzwerksegmentierungen greifen.
Parallel dazu müssen die genannten Indikatoren für eine Kompromittierung auf allen PaperCut-Servern überprüft werden. Eine forensische Analyse der Systeme ist anzuraten, um mögliche laterale Bewegungen der Angreifer im Netzwerk zu identifizieren. Unternehmen sollten zudem ihre Zugriffsprotokolle auf ungewöhnliche Aktivitäten hin untersuchen und die Patches des Herstellers priorisiert installieren.
Die aktuelle Situation zeigt, dass Print-Management-Systeme ein nach wie vor unterschätztes Einfallstor darstellen. Angesichts der historisch belegten Angriffswellen und der Schwere der aktuellen Zero-Day-Ausnutzung ist ein sofortiges Handeln nicht optional, sondern zwingend erforderlich. PaperCut hat angekündigt, das Advisory mit weiteren Indikatoren und Abhilfemaßnahmen zu aktualisieren, sobald die Untersuchungen fortschreiten.
