Clop wykorzystuje niestandardowy web shell do kradzieży danych z PTC Windchill

Wprowadzenie do problemu / definicja

Grupa Clop po raz kolejny została powiązana z kampanią ukierunkowaną na systemy przedsiębiorstw, tym razem wykorzystując podatność CVE-2026-12569 w platformach PTC Windchill i FlexPLM. Najważniejszym elementem tej operacji nie było jednak samo zdalne wykonanie kodu, lecz użycie niestandardowego web shella zaprojektowanego specjalnie pod architekturę Windchill.

To istotna ewolucja zagrożenia, ponieważ implant nie działał jak prosty backdoor JSP służący wyłącznie do uruchamiania poleceń. Został przygotowany tak, by korzystać z logiki aplikacyjnej, klas Java oraz mechanizmów przechowywania danych i sekretów obecnych w środowisku PLM.

W skrócie

Ataki koncentrują się wokół krytycznej luki CVE-2026-12569, umożliwiającej zdalne wykonanie kodu w PTC Windchill i FlexPLM. Według opublikowanych analiz operatorzy powiązani z Clop wdrażali wyspecjalizowany komponent JSP, który pozwalał nie tylko utrzymać dostęp, ale również odczytywać konfigurację, lokalizować dokumenty oraz przygotowywać dane do eksfiltracji.

atakujący wykorzystywali podatność RCE w Windchill i FlexPLM,
implant potrafił odszyfrowywać sekrety aplikacji i odczytywać konfigurację,
web shell wspierał enumerację repozytoriów plików i pobieranie danych,
narzędzie umożliwiało ładowanie dodatkowego kodu Java bezpośrednio do pamięci procesu,
całość utrudniała detekcję, ponieważ działania odbywały się w legalnym kontekście aplikacji.

Kontekst / historia

Clop od lat stosuje model operacyjny polegający na szybkim przejmowaniu podatności w szeroko wdrożonych rozwiązaniach korporacyjnych. Celem takich kampanii są zwykle systemy przechowujące duże wolumeny danych biznesowych, które następnie mogą zostać wykorzystane do szantażu, wycieku informacji lub dalszych działań wymuszających.

W przypadku PTC Windchill sytuacja przyspieszyła po ujawnieniu i załataniu CVE-2026-12569. W krótkim czasie od publikacji ostrzeżeń zaczęły pojawiać się sygnały o aktywnym wykorzystaniu luki, wdrażaniu plików JSP oraz działaniach typowych dla zorganizowanej operacji eksfiltracyjnej. Powiązanie kampanii z Clop wynikało z podobieństw infrastrukturalnych i operacyjnych do wcześniejszych aktywności tej grupy.

Analiza techniczna

Najbardziej charakterystycznym elementem kampanii jest sam web shell. Zamiast generycznego narzędzia do wykonywania komend systemowych operatorzy przygotowali implant znający wewnętrzne mechanizmy Windchill. Dzięki temu mógł korzystać z klas Java i struktur aplikacji do bezpośredniego dostępu do danych oraz sekretów.

Analizy wskazują, że narzędzie działało jako komponent JSP i wykorzystywało natywne funkcje środowiska do komunikacji z bazą danych, lokalizowania plików w vaultach oraz odczytywania i odszyfrowywania zapisanych właściwości. W praktyce dawało to atakującym możliwość działania podobną do legalnego modułu aplikacji, a nie osobnego malware uruchamianego obok procesu biznesowego.

Sterowanie implantem miało odbywać się przez niestandardowy nagłówek HTTP X-windchill-req. Poszczególne polecenia były kodowane skrótowo, a zestaw funkcji wskazuje na narzędzie stworzone stricte do kradzieży danych i utrzymywania elastycznego dostępu.

pozyskiwanie sekretów i konfiguracji Windchill, w tym danych związanych z LDAP,
mapowanie repozytoriów plików na podstawie zapytań do bazy danych,
enumeracja katalogów oraz częściowy odczyt wskazanych zasobów,
pobieranie pełnych plików z repozytoriów,
usuwanie plików w celu zacierania śladów,
ładowanie dodatkowego kodu Java z archiwum ZIP zakodowanego w Base64 bezpośrednio do pamięci procesu,
identyfikacja środowiska systemowego oraz testowanie dostępności implantu.

Kluczowe znaczenie ma to, że atakujący nie musieli polegać wyłącznie na przeszukiwaniu systemu plików. Znajomość tabel i relacji bazy danych Windchill umożliwiała im precyzyjne ustalanie, gdzie znajdują się konkretne dokumenty, jak są mapowane przez aplikację i które zasoby mają najwyższą wartość operacyjną lub biznesową.

Konsekwencje / ryzyko

Dla organizacji korzystających z PTC Windchill i FlexPLM ryzyko jest szczególnie wysokie, ponieważ systemy te przechowują dokumentację techniczną, projekty, dane produktowe, BOM-y, informacje o łańcuchu dostaw oraz własność intelektualną. Utrata takich zasobów może prowadzić nie tylko do incydentu bezpieczeństwa, ale również do strat strategicznych i konkurencyjnych.

Dodatkowym problemem jest możliwość odszyfrowania sekretów aplikacji i uzyskania dostępu do poświadczeń powiązanych z LDAP lub innymi usługami zintegrowanymi. W takim scenariuszu kompromitacja może wykraczać daleko poza jeden serwer i otwierać drogę do ruchu bocznego, eskalacji uprawnień oraz ponownego wejścia do środowiska po usunięciu widocznych artefaktów.

Z perspektywy obrony istotne jest także to, że część aktywności może wyglądać jak legalne operacje wykonywane przez proces aplikacyjny. To utrudnia wykrycie incydentu przy użyciu prostych wskaźników opartych wyłącznie na uruchamianiu poleceń systemowych, tworzeniu nowych kont czy nietypowych sesjach administracyjnych.

Rekomendacje

Priorytetem pozostaje natychmiastowe zastosowanie poprawek producenta dla CVE-2026-12569 we wszystkich podatnych instancjach Windchill i FlexPLM. Równolegle organizacje powinny sprawdzić, czy ich środowiska nie były nadmiernie wystawione do internetu oraz czy nie doszło już do wdrożenia artefaktów poeksploatacyjnych.

przeprowadzić hunting pod kątem nietypowych plików JSP w katalogach aplikacji,
przeszukać logi HTTP pod kątem nagłówka X-windchill-req i podobnych wzorców,
sprawdzić żądania POST kierowane do niestandardowych plików JSP,
skorelować logi aplikacyjne, serwerowe i bazodanowe pod kątem anomalii wykonywanych przez konto usługi,
zweryfikować dostęp do konfiguracji LDAP, keystore i innych plików zawierających sekrety,
zresetować poświadczenia zarządcze i sekrety obsługiwane przez Windchill w razie podejrzenia kompromitacji,
przeanalizować możliwość obecności dodatkowych implantów ładowanych do pamięci,
monitorować ruch wychodzący z serwera pod kątem nietypowych transferów danych,
ograniczyć bezpośrednią ekspozycję komponentów aplikacji do internetu i stosować zasadę najmniejszych uprawnień.

W środowiskach o podwyższonym ryzyku uzasadnione może być również czasowe odizolowanie podejrzanych instancji, wykonanie kopii do analizy śledczej oraz przegląd wszystkich integracji Windchill z katalogami tożsamości, systemami ERP i repozytoriami danych.

Podsumowanie

Kampania wymierzona w PTC Windchill pokazuje, że nowoczesne operacje kradzieży danych coraz częściej opierają się na narzędziach pisanych pod konkretną aplikację biznesową. W tym przypadku web shell pełnił rolę wyspecjalizowanego implantu rozumiejącego architekturę Windchill, jego bazę danych, mechanizmy przechowywania sekretów i strukturę vaultów.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że sama poprawka podatności nie zawsze wystarcza. Równie ważne są aktywne polowanie na zagrożenia, rotacja poświadczeń, analiza śladów eksfiltracji oraz monitorowanie zachowań aplikacji, które mogą wskazywać na nadużycie legalnego kontekstu systemowego.

Źródła

BleepingComputer — Clop created custom web shell for Windchill data theft attacks — https://www.bleepingcomputer.com/news/security/clop-created-custom-web-shell-for-windchill-data-theft-attacks/
PTC — Customer & Partner Updates: Remote Code Execution Vulnerability in PTC’s Windchill and FlexPLM Solutions — https://www.ptc.com/en/about/trust-center/advisory-center/active-advisories/windchill-flexplm-rce-vulnerability
PTC Trust Center — Advisory Center entry for CVE-2026-12569 — https://www.ptc.com/en/about/trust-center/advisory-center
Ransom-ISAC — Cl0p Exploitation of PTC Windchill & FlexPLM (CVE-2026-12569) — https://www.ransom-isac.org/blog/
CISA — Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog?page=0