Không cần cài malware lạ: Hacker đang biến phần mềm remote hợp pháp thành backdoor trên server PaperCut

Một backdoor không nhất thiết phải trông giống malware. Trong chiến dịch đang nhắm vào các máy chủ PaperCut NG và PaperCut MF kết nối Internet, kẻ tấn công sau khi khai thác lỗ hổng đã cài SimpleHelp và AnyDesk — hai sản phẩm remote access hoàn toàn hợp pháp — để biến chính phần mềm hỗ trợ kỹ thuật thành đường quay trở lại server.

PaperCut xác nhận hoạt động khai thác thực tế từ ngày 27/8/2026. Cuộc điều tra sau đó cho thấy đây không phải một lỗi đơn lẻ mà là chuỗi gồm hai lỗ hổng: CVE-2026-81578, cho phép một số thao tác quản trị xảy ra trước khi kiểm tra quyền truy cập hoàn tất, và CVE-2026-82078, liên quan tới việc nạp lớp Java động không an toàn trong chức năng kết nối cơ sở dữ liệu.

Khi kết hợp hai lỗi, attacker có thể đi từ một request không cần đăng nhập tới khả năng thực thi mã trên PaperCut Application Server.

Nhưng phần đáng chú ý xảy ra sau đó.

Thay vì triển khai một remote-access trojan tự viết với tên file lạ và protocol riêng, những kẻ xâm nhập được PaperCut quan sát đã cài SimpleHelp Remote Access Service, thiết lập nó chạy tự động dưới tài khoản LocalSystem, rồi tải thêm AnyDesk như một kênh remote dự phòng.

Đây là một ví dụ rất rõ của chiến thuật thường khiến đội phòng thủ đau đầu: lạm dụng phần mềm hợp pháp để thực hiện một chức năng độc hại.

Trước hết: đây không phải câu chuyện “không có mã độc nào được dùng”

Tiêu đề “không cần cài malware lạ” mô tả đúng phần persistence của cuộc tấn công, nhưng cần hiểu chính xác.

Attacker vẫn phải có một cơ chế để chiếm quyền thực thi ban đầu.

Trong các mẫu được Huntress phân tích, chuỗi khai thác PaperCut có thể đưa một file Java .class do attacker kiểm soát vào môi trường ứng dụng rồi kích hoạt nó để chạy lệnh hệ điều hành.

Mã này có hành vi tự xóa một số artifact sau khi thực thi và trong ít nhất một trường hợp còn xóa server.log của PaperCut nhằm giảm dấu vết.

Vì vậy không nên mô tả chiến dịch như thể attacker chỉ dùng những binary chính hãng từ đầu đến cuối.

Điểm mới đáng chú ý hơn là: sau khi có remote code execution, chúng không cần duy trì một RAT tùy biến. Chúng có thể giao nhiệm vụ đó cho những sản phẩm remote-management mà doanh nghiệp vốn sử dụng hợp pháp mỗi ngày.

PaperCut là gì và tại sao server của nó hấp dẫn attacker?

PaperCut NG và PaperCut MF là các hệ thống quản lý in ấn self-hosted thường xuất hiện trong trường học, đại học, bệnh viện, cơ quan nhà nước và doanh nghiệp.

Application Server giữ vai trò trung tâm trong việc quản lý người dùng, quota, print job, máy in và nhiều cấu hình của môi trường PaperCut.

Trong một số triển khai, giao diện web của Application Server được mở ra Internet để quản trị từ xa hoặc phục vụ các mô hình vận hành phân tán.

Chính yếu tố này làm một lỗ hổng pre-authentication trở nên đặc biệt nguy hiểm.

Nếu server có thể được truy cập trực tiếp từ Internet và attacker không cần tài khoản hợp lệ trước khi kích hoạt chuỗi lỗi, lớp bảo vệ “phải đánh cắp mật khẩu trước” gần như biến mất.

PaperCut vì vậy đã đưa ra hành động đầu tiên rất rõ ràng ngay khi phát hiện sự cố: mọi Application Server public-facing phải được giới hạn web access chỉ còn các địa chỉ IP tin cậy.

Hai lỗ hổng tạo thành một chuỗi thay vì một “nút bấm RCE” duy nhất

Lỗ hổng đầu tiên, CVE-2026-81578, được PaperCut xếp mức High với CVSS 8.8.

Trong một số điều kiện, request từ xa không cần xác thực có thể khiến backend thực hiện hành động quản trị trước khi quá trình validation quyền truy cập hoàn tất.

Điều này cho phép thay đổi một số cấu hình hệ thống mà attacker bình thường không được phép chạm tới.

Lỗ hổng thứ hai, CVE-2026-82078, nghiêm trọng hơn và được chấm CVSS 9.4 Critical.

Nó nằm trong utility kết nối database, nơi PaperCut có thể nạp các database driver class dựa trên cấu hình.

Nếu attacker đã kiểm soát được cấu hình liên quan, hành vi dynamic class loading có thể bị lợi dụng để chạy Java bytecode không mong muốn dưới security context của tiến trình PaperCut.

Mỗi vấn đề riêng lẻ không kể toàn bộ câu chuyện.

Nhưng khi authentication bypass mở được cánh cửa cấu hình và unsafe class loading biến cấu hình đó thành code execution, attacker có một đường đi từ Internet tới hệ điều hành.

Một tính năng ít dùng trở thành mắt xích của exploit

PaperCut cho biết chuỗi tấn công có liên quan tới một tính năng ít được sử dụng: tra cứu Card/ID number từ cơ sở dữ liệu bên ngoài.

Đây vốn là chức năng doanh nghiệp bình thường. Một tổ chức có thể lưu mã thẻ nhân viên hoặc sinh viên trong hệ thống database khác rồi để PaperCut truy vấn dữ liệu đó.

Nhưng database connector cần biết URL kết nối và tên driver.

Chính khả năng cấu hình linh hoạt này trở thành bề mặt nguy hiểm khi kết hợp với lỗi kiểm soát truy cập.

Sự cố là một ví dụ điển hình của secure design: một tính năng không nhất thiết nguy hiểm khi đứng riêng, nhưng các behavior hợp pháp có thể trở thành exploit chain khi chúng được nối với nhau theo một trật tự mà nhà phát triển không dự đoán.

Sau khi vào được server, attacker làm gì?

PaperCut đã công bố một chuỗi hành vi quan sát được trên một số hệ thống nơi endpoint protection không chặn hoạt động ngay từ đầu.

Bước đầu tiên khá quen thuộc: reconnaissance.

Attacker kiểm tra user context và phiên bản Windows, liệt kê process đang chạy, tìm domain controller, kiểm tra user đang đăng nhập và liệt kê thư mục người dùng.

Đây là những thao tác nhằm trả lời các câu hỏi cơ bản:

• Ta đang chạy với quyền nào?
• Máy này thuộc domain nào?
• Ai đang đăng nhập?
• EDR hoặc phần mềm bảo mật nào đang chạy?
• Đây có phải một foothold đáng giữ lại không?

Sau khoảng hơn 20 phút trong chuỗi PaperCut công bố, một Windows service có tên Remote Access Service được cài đặt. Binary tương ứng là SimpleService.exe nằm dưới thư mục JWrapper-Remote Access, chạy dưới LocalSystem và được đặt auto-start.

Không lâu sau, attacker tải AnyDesk từ chính domain download chính thức của AnyDesk xuống C:\ProgramData\AnyDesk.exe.

SimpleHelp không phải malware

SimpleHelp là một sản phẩm remote support và remote management hợp pháp.

Theo nhà phát triển, nền tảng được hàng nghìn doanh nghiệp sử dụng để hỗ trợ người dùng, quản lý endpoint và truy cập máy không có người trực.

Một chức năng cốt lõi của nó là Remote Access Service: cài một service thường trực trên máy đích để technician có thể kết nối lại bất kỳ lúc nào.

Trong một triển khai hợp pháp, đây chính xác là tính năng mà đội IT cần.

Trong một máy chủ đã bị hacker chiếm quyền, cũng chính tính năng đó trở thành persistence.

Phần mềm không cần thay đổi.

Không cần “bẻ khóa” SimpleHelp.

Attacker chỉ cần cài agent của một SimpleHelp server mà chúng kiểm soát.

Máy nạn nhân sau đó chủ động đăng ký vào hạ tầng remote-access của attacker như thể nó là một endpoint được quản trị bình thường.

AnyDesk cũng vậy

AnyDesk là một ứng dụng remote desktop phổ biến dành cho cá nhân và doanh nghiệp.

Nó được thiết kế để người dùng có thể xem màn hình, điều khiển máy từ xa, truyền file và hỗ trợ kỹ thuật.

Không có gì độc hại trong việc một IT administrator cài AnyDesk lên server.

Nhưng nếu một attacker cài nó mà chủ hệ thống không biết, chức năng “remote support” lập tức trở thành một backdoor.

Đây là điểm khiến lạm dụng remote-management software khác malware truyền thống.

Binary có thể được ký số hợp lệ.

Tên process có thể quen thuộc.

Network traffic có thể đi tới hạ tầng của một nhà cung cấp phần mềm có uy tín.

Và installer thậm chí có thể được tải từ website chính hãng.

Tại sao attacker lại cài cả SimpleHelp lẫn AnyDesk?

PaperCut chưa xác định mục tiêu cuối cùng của threat actor, nhưng việc tạo hai kênh remote access có một lợi thế rõ ràng: redundancy.

Nếu một agent bị endpoint protection phát hiện hoặc administrator vô tình gỡ nó, attacker vẫn có đường thứ hai.

Nếu một dịch vụ bị chặn bởi firewall nhưng dịch vụ kia vẫn kết nối được, persistence tiếp tục tồn tại.

Đây giống cách một quản trị viên hợp pháp không muốn một hỏng hóc đơn lẻ làm mất quyền quản lý hệ thống.

Kẻ tấn công áp dụng cùng logic reliability cho foothold của mình.

Đây là “living off trusted software” hơn là living off the land thuần túy

Trong security, cụm từ living off the land thường mô tả việc attacker sử dụng những công cụ đã có sẵn trong hệ điều hành như PowerShell, cmd.exe hoặc các binary quản trị Windows để tránh mang malware mới vào máy.

Chiến dịch PaperCut có yếu tố đó: PowerShell và các utility Windows được dùng cho discovery và download.

Nhưng SimpleHelp và AnyDesk thuộc một nhóm rộng hơn thường gọi là legitimate remote monitoring and management abuse hoặc lạm dụng dual-use software.

Chúng không có sẵn mặc định trên Windows, nhưng là phần mềm hợp pháp được thiết kế để thực hiện chính những hành động mà một RAT cũng cần: remote control, unattended access, file transfer và quản trị hệ thống.

Attacker vì vậy không cần viết lại bánh xe.

Tại sao antivirus khó xử lý kiểu tấn công này?

Antivirus truyền thống hoạt động rất tốt khi malware có những đặc điểm rõ ràng: hash đã biết, đoạn mã đáng ngờ, packer bất thường, persistence registry đặc trưng hoặc kết nối tới domain độc hại.

Remote-management tool hợp pháp làm mờ các tín hiệu đó.

Nếu một tổ chức thật sự sử dụng AnyDesk, việc antivirus chặn tất cả AnyDesk sẽ phá hoạt động kinh doanh.

Nếu SimpleHelp được một MSP dùng để hỗ trợ khách hàng, SimpleService.exe chạy như Windows service là hành vi hoàn toàn bình thường.

Do đó security product phải trả lời một câu hỏi khó hơn:

Phần mềm này có hợp pháp không? chưa đủ.

Cần hỏi thêm: phần mềm hợp pháp này có được cài đúng người, đúng thời điểm và đúng máy hay không?

Context trở thành tín hiệu quan trọng hơn tên file

Trong sự cố PaperCut, chuỗi tiến trình cung cấp context mạnh hơn chính executable.

Một PaperCut Application Server bình thường không có lý do rõ ràng để đột nhiên spawn shell, chạy các lệnh discovery domain, tải remote access installer rồi tạo service mới.

Do đó EDR có thể phát hiện bất thường bằng quan hệ parent-child process thay vì chỉ đánh giá reputation của file.

Ví dụ, pc-app.exe sinh ra cmd.exe hoặc PowerShell rồi ngay sau đó xuất hiện một service remote access mới là chuỗi hành vi đáng điều tra, ngay cả khi file remote client có chữ ký hợp lệ.

Elastic đã bổ sung detection guidance theo đúng hướng này: chú ý các child process bất thường xuất phát từ thành phần PaperCut server.

“Signed binary” không có nghĩa “trusted behavior”

Digital signature trả lời câu hỏi ai đã phát hành file và file có bị thay đổi kể từ khi ký hay không.

Nó không trả lời ai đang sử dụng file đó và vì mục đích gì.

Một dao mổ chính hãng không trở thành vô hại chỉ vì nhà sản xuất đáng tin cậy.

Remote-control software cũng vậy.

Chữ ký hợp lệ giúp xác nhận đây thật sự là AnyDesk hay SimpleHelp, nhưng chính tính xác thực đó lại làm phần mềm hấp dẫn hơn với attacker vì khả năng bị các hệ thống reputation-based chặn ngay lập tức thấp hơn malware vô danh.

PaperCut phát hiện sự cố như thế nào?

Theo bài viết hậu trường của PaperCut, lúc 9:42 sáng ngày 27/8/2026 theo giờ AEST, công ty nhận báo cáo từ một khách hàng ngành giáo dục rằng server PaperCut MF của họ có dấu hiệu bị compromise.

Ban đầu đội phản ứng kiểm tra khả năng đây là một lỗ hổng cũ chưa được vá.

Log không khớp với giả thuyết đó.

PaperCut sau đó tuyên bố P0 incident và làm việc cùng đội security của khách hàng, Huntress, watchTowr cùng các nhà nghiên cứu khác để tái hiện exploit chain.

PaperCut cho biết hoạt động quan sát tới nay có vẻ tương đối tập trung và giới hạn, nhưng cuộc điều tra vẫn chưa đủ để vạch một ranh giới chắc chắn cho toàn bộ phạm vi ảnh hưởng.

Hai CVE được công bố sau khi chuỗi tấn công đã hoạt động ngoài thực tế

Sự cố này là một zero-day theo nghĩa quan trọng nhất đối với defender: attacker đã sử dụng lỗ hổng trước khi khách hàng có bản vá công khai tương ứng.

PaperCut phát cảnh báo khẩn cấp ngày 27/8.

Ngày 28/8, công ty tung emergency patch đầu tiên rồi tiếp tục phát hành Release 2 với hardening bổ sung sau khi phối hợp với các nhà nghiên cứu.

Đến ngày 1/9/2026, PaperCut phát hành Emergency Patch Release 3, thay thế các emergency release trước đó.

Release 3 không chỉ sửa hai regression liên quan tới SAML và legacy Microsoft SQL Server driver mà còn bổ sung hardening cho các attack vector khác đã được quan sát trong thực tế.

Ai có thể bị ảnh hưởng?

PaperCut hiện áp dụng security advisory này cho tất cả phiên bản PaperCut NG và PaperCut MF.

Emergency Patch Release 3 được cung cấp cho các nhánh v24, v25 và v26.

Với phiên bản v23 trở xuống, PaperCut khuyến nghị nâng cấp lên phiên bản mới nhất thay vì chờ một emergency build riêng.

PaperCut Hive và PaperCut Pocket không nằm trong advisory này.

Các thành phần Mobility Print và Print Deploy cũng không bị ảnh hưởng bởi chuỗi lỗi nói trên.

Tuy nhiên, Site Server và secondary/print server của một môi trường NG/MF nên được nâng lên phiên bản đã patch, không chỉ Application Server chính.

Con số từ Huntress cho thấy legacy install là một vấn đề thực tế

Huntress cho biết trong khoảng 2.500 cài đặt PaperCut mà công ty theo dõi, khoảng 47% vẫn đang chạy v23 hoặc cũ hơn tại thời điểm nghiên cứu được công bố.

Con số này không đại diện cho toàn bộ khách hàng PaperCut trên thế giới.

Nhưng nó minh họa một khó khăn quen thuộc trong enterprise security: khi zero-day xuất hiện, một tỷ lệ đáng kể hạ tầng có thể đang ở nhánh phần mềm quá cũ để nhận emergency patch trực tiếp.

Trong tình huống đó, network isolation trở thành biện pháp quan trọng không kém patching.

Tại sao PaperCut yêu cầu bỏ public exposure ngay cả trước khi có bản vá?

Bởi vì một web application không thể bị khai thác trực tiếp từ Internet nếu Internet không thể tiếp cận nó.

Đây là nguyên tắc đơn giản nhưng rất mạnh của attack-surface reduction.

Giao diện quản trị không nhất thiết phải public chỉ vì administrator cần truy cập từ xa.

VPN, zero-trust access gateway, allowlist IP hoặc một bastion host có thể tạo thêm lớp kiểm soát trước khi request chạm tới PaperCut.

Không biện pháp nào thay thế patch lâu dài.

Nhưng trong vài giờ đầu của zero-day — khi vendor chưa kịp hiểu đầy đủ exploit — giảm exposure thường là hành động nhanh nhất để cắt đường tấn công.

Patch rồi là đủ chưa?

Không, nếu server đã bị compromise trước khi patch.

Bản vá ngăn exploit mới đi qua lỗ hổng.

Nó không tự xóa remote-access agent, scheduled task, tài khoản mới, credential đã bị đánh cắp hoặc persistence khác mà attacker đã thiết lập trước đó.

Đây là lý do PaperCut đưa ra khuyến nghị mạnh hơn cho các hệ thống nghi ngờ bị xâm nhập: bảo vệ backup hiện có, wipe và rebuild hoàn toàn Application Server, sau đó phục hồi từ một backup sạch được tạo trước thời điểm có hành vi đáng ngờ.

Đồng thời tổ chức cần kích hoạt quy trình incident response và đánh giá toàn bộ phạm vi compromise.

IOC rõ nhất hiện nay: một service có tên Remote Access Service

PaperCut khuyến nghị kiểm tra sự hiện diện bất thường của Windows service tên Remote Access Service chạy SimpleService.exe từ đường dẫn:

C:\ProgramData\JWrapper-Remote Access\JWAppsSharedConfig\restricted\

Unexpected AnyDesk installation cũng là một indicator đáng điều tra.

Nhưng PaperCut nhấn mạnh rằng không thấy những IOC này không chứng minh server sạch.

Attacker có thể thay đổi công cụ, xóa file hoặc dừng lại ở giai đoạn reconnaissance.

IOC vì vậy là điểm bắt đầu của investigation, không phải một phép xét nghiệm tuyệt đối.

Log bị mất cũng có thể là một indicator

Điều khá nghịch lý trong incident response là đôi khi thứ “không còn ở đó” lại đáng ngờ.

PaperCut liệt kê server.log bị mất, bị cắt ngắn bất thường hoặc bị xóa là một dấu hiệu cần chú ý.

Huntress quan sát một payload Java xóa output file của chính nó và xóa server.log sau khi chạy.

May mắn là một số log khác vẫn có thể giữ breadcrumb, chẳng hạn derby.log.

Đây là lý do central log collection rất quan trọng.

Nếu log chỉ tồn tại trên chính server bị compromise, attacker có thể xóa bằng chứng cùng lúc với việc chiếm máy.

Nếu log đã được đẩy sang SIEM hoặc một collector chỉ ghi, khả năng điều tra sau đó tốt hơn đáng kể.

Đừng block AnyDesk bừa bãi nếu doanh nghiệp thật sự dùng nó

Một phản ứng dễ hiểu sau incident là chặn tất cả remote-access tools.

Trong một số tổ chức, đó có thể là lựa chọn đúng.

Nhưng nếu helpdesk hoặc MSP thật sự sử dụng AnyDesk, SimpleHelp hay một RMM khác, blanket block có thể phá workflow hợp pháp.

Mô hình tốt hơn là allowlist theo nhu cầu.

Tổ chức nên biết rõ những công cụ remote nào được phép tồn tại, phiên bản nào, server quản lý nào, account nào được dùng và endpoint nào cần agent.

Một AnyDesk xuất hiện trên PaperCut server vốn chưa từng được phê duyệt nên được xem khác hoàn toàn AnyDesk trên máy của đội support.

Inventory phần mềm hợp pháp trở thành một control bảo mật

Nhiều doanh nghiệp có software inventory chủ yếu để quản lý license.

Chiến dịch PaperCut cho thấy inventory còn là một security primitive.

Nếu SOC biết server A chỉ được phép có CrowdStrike, PaperCut và agent backup, việc SimpleHelp xuất hiện đột ngột là một signal mạnh.

Nếu không có baseline, cùng sự kiện có thể bị xem như “một utility IT nào đó”.

Đây là điểm mà asset management, application control và EDR hội tụ.

Application control có thể chặn dual-use tools như thế nào?

Windows Defender Application Control, AppLocker hoặc các giải pháp application allowlisting khác có thể hạn chế executable được phép chạy trên server.

Thay vì hỏi file có malware hay không, policy hỏi file có nằm trong danh sách phần mềm mà role của server được phép chạy hay không.

Một print management server thường không cần một remote desktop client thứ hai nếu tổ chức đã có công cụ quản trị chuẩn.

Trong kiến trúc kiểm soát chặt, installer SimpleHelp hoặc AnyDesk có thể bị chặn đơn giản vì nó nằm ngoài baseline của server.

Điều này không loại bỏ exploit, nhưng có thể làm post-exploitation khó hơn.

Network egress cũng quan trọng như ingress

Đội bảo mật thường tập trung vào câu hỏi: ai từ Internet có thể đi vào server?

Remote-access abuse thêm một câu hỏi khác: server được phép tự kết nối ra đâu?

Nếu mọi server đều có unrestricted outbound Internet access, attacker sau khi đạt RCE có thể tải tool và kết nối tới hạ tầng điều khiển dễ dàng.

Egress filtering, proxy bắt buộc và DNS monitoring có thể làm đường này khó hơn.

Một PaperCut server không cần truy cập tùy ý tới mọi dịch vụ file sharing hoặc remote-management platform trên Internet.

Giới hạn outbound traffic theo chức năng của server có thể giảm blast radius ngay cả khi một web application bị khai thác.

Tại sao server in ấn lại có thể trở thành bàn đạp vào domain?

Trong nhiều tổ chức, print infrastructure bị xem là dịch vụ phụ trợ tương đối ít quan trọng.

Nhưng server in thường nằm sâu trong mạng nội bộ, có kết nối tới directory service và phục vụ nhiều người dùng.

Nó có thể thấy username, phiên đăng nhập hoặc cấu trúc domain.

Nếu chạy với quyền cao trên hệ điều hành, một RCE trên print-management server tạo foothold thuận lợi để attacker bắt đầu reconnaissance nội bộ.

Chuỗi lệnh mà PaperCut quan sát có bước tìm domain controller chính là dấu hiệu threat actor quan tâm tới môi trường xung quanh, không chỉ bản thân ứng dụng in.

Lịch sử 2023 khiến PaperCut phản ứng đặc biệt nhanh

PaperCut từng trải qua một sự cố bảo mật nghiêm trọng vào năm 2023, khi các lỗ hổng PaperCut công khai sau khi có bản vá bị nhiều nhóm attacker khai thác trên Internet.

Clop và LockBit cùng các actor khác từng liên quan tới hoạt động nhắm vào các server PaperCut khi đó.

PaperCut cho biết bài học lớn từ năm 2023 là attacker đầu tiên chưa chắc là phần nguy hiểm nhất.

Một khi đủ chi tiết kỹ thuật lan truyền, nhiều nhóm khác có thể nhanh chóng xây exploit và quét hàng loạt server chưa vá.

Điều này giải thích tại sao trong sự cố 2026, công ty ban đầu hạn chế công bố chi tiết exploit và ưu tiên yêu cầu khách hàng gỡ server khỏi Internet cùng emergency patch.

Release 3 là bản vá mới nhất tại thời điểm 2/9/2026

Tính tới ngày 2/9/2026, Emergency Patch Release 3 là bản emergency mitigation mới nhất mà PaperCut yêu cầu khách hàng public-facing cài đặt.

Nó là bản tích lũy, vì vậy người dùng không cần cài Release 1 và Release 2 trước.

Ngược lại, ai đã cài Release 2 vẫn được PaperCut yêu cầu nâng tiếp lên Release 3.

Đây là chi tiết quan trọng vì tình huống zero-day phát triển nhanh: “tôi đã patch hôm thứ Sáu” chưa chắc đồng nghĩa “tôi đang ở trạng thái bảo vệ mới nhất vào thứ Ba”.

Tại sao có tới ba emergency release trong vài ngày?

Điều này có thể gây patch fatigue, nhưng nó phản ánh bản chất của incident response khi exploit đã hoạt động ngoài đời thực.

Bản vá đầu tiên nhằm cắt đường khai thác đã biết nhanh nhất có thể.

Sau khi Huntress, watchTowr và các researcher khác tiếp tục phân tích, các biến thể và đường bypass tiềm năng được tìm thấy.

Vendor phải bổ sung hardening, đồng thời khắc phục regression do emergency fix tạo ra.

Một bản release được QA đầy đủ thường mất nhiều thời gian hơn.

Khi có active exploitation, lựa chọn thường là phát hành mitigation nhanh rồi cập nhật liên tục thay vì chờ mọi thứ hoàn hảo trong khi server vẫn phơi ra Internet.

Không biết mục tiêu cuối cùng của attacker là gì

PaperCut và Huntress chưa công bố bằng chứng đủ để kết luận actor đứng sau hoặc mục tiêu cuối cùng của chiến dịch.

Hoạt động hiện thấy gồm discovery và tạo remote access persistence.

Những bước này có thể precede nhiều loại cuộc tấn công khác nhau: đánh cắp dữ liệu, lateral movement, credential theft, ransomware hoặc bán quyền truy cập cho một nhóm khác.

Không nên gán động cơ khi chưa có bằng chứng.

Nhưng bản thân việc một attacker chủ động tạo hai remote channel đã cho thấy chúng muốn duy trì khả năng quay lại thay vì chỉ chạy một lệnh thử nghiệm rồi rời đi.

Remote tool hợp pháp đang dần trở thành một “commodity backdoor”

Viết một RAT tùy biến tốn công.

Nó phải giao tiếp ổn định, xử lý NAT, mã hóa traffic, truyền file, thực thi lệnh, cập nhật và tránh bị phát hiện.

AnyDesk, SimpleHelp và các RMM hợp pháp đã giải quyết gần như toàn bộ các bài toán engineering đó.

Chúng được cập nhật thường xuyên, hoạt động xuyên firewall trong nhiều cấu hình và được xây để reconnect ổn định.

Đối với attacker đã có quyền admin hoặc SYSTEM, cài một công cụ như vậy có thể đơn giản và đáng tin cậy hơn duy trì malware riêng.

Đây là một lý do security industry ngày càng coi việc theo dõi remote-management software là một lớp phòng thủ riêng.

Điều defender nên săn tìm không chỉ là tên AnyDesk

Nếu attacker biết SOC block AnyDesk, chúng có thể đổi sang RustDesk, ScreenConnect, Splashtop, SimpleHelp hoặc một trong hàng chục sản phẩm khác.

Hunt theo tên sản phẩm vì vậy chỉ có tác dụng ngắn hạn.

Signal bền hơn nằm ở behavior:

• server vốn không có remote agent bỗng tạo một service mới;
• application process sinh PowerShell hoặc cmd.exe;
• phần mềm tải binary từ Internet vào thư mục ProgramData hoặc Temp;
• outbound connection mới xuất hiện tới remote-management infrastructure;
• service được đặt auto-start ngay sau một chuỗi discovery;
• software inventory thay đổi mà không có change ticket.

Đây là loại detection ít phụ thuộc vào việc attacker chọn thương hiệu remote nào.

Một chính sách hiệu quả: chỉ một hoặc hai công cụ remote được phép

Doanh nghiệp thường tích lũy remote tools theo thời gian.

Helpdesk dùng một sản phẩm.

Vendor ERP yêu cầu sản phẩm khác.

Nhà cung cấp camera cài sản phẩm thứ ba.

Một MSP để lại agent thứ tư.

Khi danh sách quá dài, SOC khó phân biệt cái nào hợp pháp và cái nào do attacker thêm vào.

Chuẩn hóa remote access xuống một số nền tảng được phê duyệt, quản lý tập trung và block phần còn lại giúp giảm đáng kể khoảng mù này.

Đối với PaperCut, hành động phòng thủ cần ưu tiên điều gì?

Ở thời điểm hiện tại, trình tự hợp lý là:

1. Loại bỏ public exposure của PaperCut Application Server hoặc giới hạn chỉ còn trusted IP/VPN.
2. Áp dụng Emergency Patch Release 3 cho các nhánh v24, v25 hoặc v26; phiên bản cũ hơn cần nâng cấp theo hướng dẫn của PaperCut.
3. Bảo toàn forensic evidence nếu server từng public-facing, đặc biệt log PaperCut, EDR telemetry, firewall/DNS/proxy log và metadata file.
4. Hunt dấu hiệu post-exploitation: child process bất thường từ pc-app.exe, service SimpleHelp ngoài dự kiến, AnyDesk không được phê duyệt, file lạ trong thư mục server và log bị mất.
5. Nếu nghi compromise, không chỉ patch rồi tiếp tục sử dụng; kích hoạt incident response và cân nhắc wipe/rebuild từ backup sạch theo khuyến nghị của PaperCut.

Không nên biến bài học này thành “AnyDesk hay SimpleHelp là nguy hiểm”

Đó sẽ là kết luận sai.

Cả hai đều là công cụ được xây cho nhu cầu remote support hợp pháp.

SimpleHelp cho phép doanh nghiệp quản lý unattended endpoint; AnyDesk cung cấp remote desktop và hỗ trợ từ xa cho rất nhiều tổ chức.

Vấn đề không phải capability tồn tại.

Vấn đề là capability mạnh được sử dụng mà không có authorization.

Một SSH server, PowerShell, VPN hay RDP cũng có thể trở thành backdoor nếu credential và cấu hình nằm trong tay attacker.

Đây là bài toán của “intent”, không chỉ của software

Malware detection truyền thống phân loại object: file tốt hay file xấu.

Dual-use abuse buộc defender phân loại intent thông qua context.

Cùng một file AnyDesk.exe:

Nếu helpdesk cài theo change request trên laptop của nhân viên, đó là support.

Nếu pc-app.exe bị khai thác, spawn PowerShell, tải AnyDesk xuống ProgramData rồi tạo persistence lúc nửa đêm, đó là incident.

Binary không thay đổi.

Chuỗi sự kiện mới là thứ quyết định ý nghĩa.

Một backdoor tốt nhất đôi khi là phần mềm mà mọi người đã tin tưởng

Cuộc tấn công PaperCut 2026 cho thấy ranh giới giữa “malware” và “công cụ quản trị” ngày càng ít hữu ích nếu đứng một mình.

Attacker vẫn cần exploit để mở cửa.

Nhưng sau khi vào trong, chúng có thể giảm lượng mã tùy biến bằng cách sử dụng cùng công cụ mà technician sử dụng hợp pháp.

Điều đó tạo ra một nghịch lý cho hệ thống phòng thủ.

Phần mềm remote càng ổn định, càng dễ triển khai và càng được tin cậy trong doanh nghiệp, nó càng có giá trị nếu bị người không được phép sử dụng.

Bài học vì vậy không phải “hãy tìm một loại malware mới”.

Nó là: hãy biết chính xác phần mềm nào được phép điều khiển server của bạn từ xa — và coi bất kỳ đường remote mới nào xuất hiện ngoài baseline như một sự kiện an ninh nghiêm trọng, kể cả khi executable hoàn toàn hợp pháp.

Nguồn tham khảo

• PaperCut, “URGENT Security Advisory: PaperCut NG/MF Security Bulletin (27 Aug 2026)”, cập nhật 1/9/2026.
• PaperCut, “Behind the scenes — What happened after 9:42 a.m. on the 27th August 2026”.
• Huntress, “PaperCut Zero-Day: Active Exploitation and Pre-Auth RCE”, 2026.
• Help Net Security, “Attackers plant remote access tools on compromised PaperCut servers”, 31/8/2026.
• SimpleHelp — tài liệu chính thức về remote support và unattended remote access.
• AnyDesk — tài liệu chính thức về ứng dụng remote desktop.