General Electric (GE) und Philips haben Untersuchungen zu den Vorwürfen der Ransomware-Bande Clop eingeleitet, sie habe ihre Systeme kompromittiert und Daten von ihnen gestohlen. Die Entwicklung ist Teil einer umfassenderen Kampagne gegen Einrichtungen, die die Plattformen PTC Windchill und PTC FlexPLM zur Verwaltung des Produktlebenszyklus einsetzen.
Ein Sprecher von GE erklärte, das Unternehmen sei über den Vorwurf informiert und arbeite daran, das potenzielle Problem zu bewerten. Philips bestätigte hingegen, dass seine Systeme kompromittiert wurden, und erläuterte, der Vorfall habe sich auf einen versuchten Angriff auf einen bestimmten Unternehmensserver mit internen Daten beschränkt und sei eingedämmt worden, ohne Kundenumgebungen zu beeinträchtigen. Bis zur Veröffentlichung des Berichts am 17. August 2026 legten die beiden Unternehmen keine weiteren Details vor und beantworteten auch keine Anfragen von BleepingComputer zur Bestätigung der Vorwürfe von Clop.
Vorwürfe im Rahmen einer Kampagne gegen Produktmanagement-Plattformen
Clop nahm die drei Unternehmen GE, Philips und den Ölkonzern Shell in eine Liste mit 43 neuen Opfern auf ihrer Leak-Website auf. Berichten zufolge wurden diese Angriffe durch die Ausnutzung einer kritischen Schwachstelle in der Eingabevalidierung mit der Kennung CVE-2026-12569 in öffentlich aus dem Internet erreichbaren Versionen von Windchill und FlexPLM durchgeführt.
Clop erklärte, sie habe eine breite Palette von Daten aus den Systemen der Unternehmen gestohlen, darunter Sicherungskopien, Projektpläne, Aufnahmen von Anlagen, Zeichnungen, Diagramme und technische Spezifikationen. Die Bande behauptete außerdem, Shell habe 89 Gigabyte an Daten verloren. Die Unternehmen haben jedoch bislang nicht genügend Informationen veröffentlicht, um den Umfang oder die Art der Daten zu überprüfen.
Shell hatte zuvor bestätigt, von einem möglichen Vorfall zu wissen und gemeinsam mit Sicherheitsteams und den zuständigen Experten daran zu arbeiten, ihn zu untersuchen.
Warum ist diese Entwicklung für PTC-Kunden wichtig?
Die Bedeutung des Vorfalls liegt in der großen Verbreitung der beiden Plattformen. PTC zufolge werden ihre Produkte weltweit von mehr als 30.000 Kunden eingesetzt, darunter mehr als 1.500 Kunden aus Markenunternehmen und dem Einzelhandel über FlexPLM. Zu den potenziell betroffenen Branchen gehören Luftfahrt und Verteidigung, Automobilindustrie, Schwermaschinenbau, Einzelhandel und Medizintechnik. Dadurch besitzen die in diesen Systemen gespeicherten Daten einen hohen betrieblichen und technischen Wert.
PTC begann am 17. Juni mit der Veröffentlichung von Patches für die Schwachstelle und forderte Kunden in einer speziellen Anleitung auf, ihre Umgebungen auf Anzeichen einer Kompromittierung zu überprüfen, obwohl damals noch keine Bestätigung für eine tatsächliche Ausnutzung vorlag. ReliaQuest und das Ransomware Information Sharing Center Ransom-ISAC bestätigten später jedoch Clop-Angriffe auf Windchill und FlexPLM, bei denen JSP-Webshells zur Kontrolle eingesetzt wurden, um sensible Daten zu stehlen.
Reaktion der Sicherheitsbehörden
Die US-amerikanische Cybersecurity and Infrastructure Security Agency CISA bestätigte, dass die Schwachstelle aktiv ausgenutzt wird. Nach einer Warnung von PTC vor einer zunehmenden Bedrohungsaktivität am 26. Juni nahm sie die Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und verpflichtete Bundesbehörden, Windchill- und FlexPLM-Instanzen innerhalb von drei Tagen abzusichern. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik BSI warnte Kunden vor der Gefahr und forderte sie auf, die Patches so schnell wie möglich zu installieren.
Die Kampagne reiht sich in ein wiederkehrendes Muster von Clop ein, bei dem Unternehmensplattformen angegriffen und Daten gestohlen werden. Frühere Kampagnen richteten sich gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer. Die MOVEit-Kampagne betraf weltweit mehr als 2.770 Organisationen. Seit Anfang August 2025 nutzte die Bande außerdem eine bislang nicht offengelegte Zero-Day-Schwachstelle in Oracle EBS aus. Das US-Außenministerium bietet unterdessen eine Belohnung von 10 Millionen US-Dollar für Informationen an, die die Angriffe der Bande mit einer ausländischen Regierung in Verbindung bringen.