Das Cybersicherheitsunternehmen ReliaQuest analysierte ein in Java geschriebenes Web-Shell-Tool, das die Clop-Bande wahrscheinlich speziell für PTC-Windchill- und FlexPLM-Server zur Durchführung von Datendiebstahl entwickelt hat. Das Tool wurde bei der Informationsbeschaffung im Zusammenhang mit Angriffen entdeckt, bei denen die kritische Schwachstelle CVE-2026-12569 ausgenutzt wurde, eine Schwachstelle zur Remotebefehlsausführung in Windchill.
ReliaQuest ist der Ansicht, dass es sich bei dem Tool nicht um eine wiederverwendete allgemeine Web-Shell handelt, sondern um ein Werkzeug, das mit detaillierten Kenntnissen der internen Windchill-Schnittstellen, seines Datenbankschemas, seines Schlüsselspeichers und der Struktur der vom Anwendungssystem verwendeten Dateidepots entwickelt wurde. Das Unternehmen bezeichnet diese Entwicklung als maßgeschneiderte Erweiterung der bekannten Vorgehensweise von Clop, Unternehmensplattformen auszunutzen, Daten zu stehlen und die betroffenen Organisationen anschließend zu erpressen.
Hinweise auf eine Verbindung des Tools zur Clop-Bande
Die Forschenden bringen die Aktivität anhand mehrerer Indikatoren mit der Bande in Verbindung. Dazu gehören Erpressungsnachrichten mit Adressen, die auf der Datenleck-Veröffentlichungsseite von Clop verwendet wurden, das Vorhandensein von X-windchill-req-Headern, die bereits in dem Tool beobachtet wurden, sowie bei den Angreifern verbreitete Betriebsweisen und Techniken. Ransom-ISAC bestätigte später die mit diesen Angriffen verbundene Clop-Aktivität, einschließlich des Versands von Erpressungsnachrichten an Hunderte Beschäftigte der betroffenen Organisationen.
Die Kampagne reiht sich in die lange Geschichte der Bande ein, Plattformen zur Dateiübertragung und -verwaltung anzugreifen, darunter Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer. Die frühere MOVEit-Kampagne betraf weltweit mehr als 2.770 Organisationen.
In Windchill integrierte Funktionen
Das Tool importiert spezielle Windchill-Klassen, darunter MethodContext, WTConnection und WTKeyStoreUtil. Diese Klassen ermöglichen die Nutzung der Funktionen der Anwendung selbst, um auf die Datenbank zuzugreifen, gespeicherte Zugangsdaten zu entschlüsseln und die in den Anwendungsdepots vorhandenen Dateien zu bestimmen.
Das Tool verbindet sich über die bestehende Identität des Anwendungsdienstes mit der Windchill-Datenbank, anstatt für den Angreifer ein separates Datenbankkonto anzulegen. Daher können einige Abfragen in den Datenbankprotokollen so erscheinen, als stammten sie von der üblichen Dienstidentität. Dies verringert die Wirksamkeit von Warnmeldungen, die ausschließlich auf der Erkennung neuer Konten oder ungewöhnlicher Verbindungsquellen beruhen.
Steuerbefehle werden über einen HTTP-Header mit dem Namen X-windchill-req gesendet, der aus acht Zeichen besteht. Das erste Zeichen bestimmt den Befehl, während die verbleibenden sieben Zeichen einem festen Wert entsprechen. Zu den entdeckten Funktionen gehören:
- S: Diebstahl von Windchill-Geheimnissen und -Konfigurationen, einschließlich der LDAP-Konfiguration sowie Entschlüsselung des LDAP-Administratorpassworts und anderer verschlüsselter Anwendungsdaten.
- L: Auflistung der Dateidepots einschließlich Extraktion von Dateinamen, Speicherpfaden und Dateigrößen sowie Speicherung der Ergebnisse in der Datei flst.txt.
- D und G: Durchsuchen bestimmter Pfade und Lesen von Dateiausschnitten oder Abrufen des Inhalts einer bestimmten Datei.
- R: Löschen einer Datei.
- J: Hochladen eines Base64-verschlüsselten ZIP-Archivs und Ausführen zusätzlichen Java-Codes innerhalb des Windchill-Prozesses.
- O und E: Ermitteln des Betriebssystems und Überprüfen der Antwort der Web-Shell durch Zurücksenden der übermittelten Daten.
Was ändert sich dadurch praktisch für Betreiber?
ReliaQuest empfiehlt, verfügbare Windchill-Updates umgehend zu installieren und nach ungewöhnlichen JSP-Dateien in Windchill-Verzeichnissen zu suchen, insbesondere nach Dateien, die auf X-windchill-req verweisen. Organisationen, die eine Kompromittierung ihrer Server vermuten, sollten außerdem das LDAP-Administratorkennwort und andere Windchill-Zugangsdaten ändern, da diese als möglicherweise kompromittiert gelten müssen.
PTC begann am 17. Juni mit der Veröffentlichung von Behebungen für die Schwachstelle CVE-2026-12569. Anschließend nahm CISA die Schwachstelle nach Warnungen vor einer zunehmenden damit verbundenen Aktivität in seinen Katalog der bekannten ausgenutzten Schwachstellen auf. Dies zeigt, dass der Schutz des Servers nicht auf die Installation des Patches beschränkt ist, sondern auch die Überprüfung von Dateien, Protokollen und vertraulichen Daten umfasst, auf die das Tool möglicherweise zugreifen konnte.