La société de cybersécurité ReliaQuest a analysé un outil Web Shell écrit en Java, probablement développé par le groupe Clop spécifiquement pour les serveurs PTC Windchill et FlexPLM afin de mener des opérations de vol de données. L’outil a été découvert lors de la collecte d’informations liée à des attaques exploitant la vulnérabilité critique CVE-2026-12569, une vulnérabilité d’exécution de commandes à distance dans Windchill.
ReliaQuest estime que l’outil n’est pas un Web Shell générique réutilisé, mais qu’il a été conçu avec une connaissance détaillée des interfaces internes de Windchill, de son schéma de base de données, de son magasin de clés et de la structure des coffres de fichiers utilisés par l’application. L’entreprise décrit cette évolution comme une extension personnalisée de la méthode bien connue de Clop, qui consiste à exploiter des plateformes d’entreprise, à voler des données, puis à faire chanter les organisations touchées.
Des indicateurs relient l’outil au groupe Clop
Les chercheurs attribuent cette activité au groupe sur la base de plusieurs indicateurs, notamment des messages d’extorsion contenant des adresses utilisées sur le site de fuite de données de Clop, la présence d’en-têtes X-windchill-req déjà observés dans l’outil, ainsi que des méthodes et techniques opérationnelles couramment utilisées par les attaquants. Le Ransom-ISAC a ensuite confirmé l’activité de Clop liée à ces attaques, notamment l’envoi de messages d’extorsion à des centaines d’employés des organisations touchées.
Cette campagne s’inscrit dans le long historique du groupe visant des plateformes de transfert et de gestion de fichiers, telles qu’Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo et MOVEit Transfer. La campagne MOVEit précédente a touché plus de 2 770 organisations dans le monde.
Des capacités intégrées à Windchill
L’outil importe des classes propres à Windchill, notamment MethodContext, WTConnection et WTKeyStoreUtil. Ces classes permettent d’utiliser les fonctions de l’application elle-même pour accéder à la base de données, déchiffrer les identifiants stockés et déterminer les fichiers présents dans les coffres de l’application.
L’outil se connecte à la base de données Windchill au moyen de l’identité existante du service applicatif, au lieu de créer un compte de base de données distinct pour l’attaquant. Par conséquent, certaines requêtes peuvent apparaître dans les journaux de la base de données comme si elles provenaient de l’identité habituelle du service, ce qui réduit l’efficacité des alertes reposant uniquement sur la détection de nouveaux comptes ou de sources de connexion inhabituelles.
Les commandes de contrôle sont envoyées via un en-tête HTTP nommé X-windchill-req, composé de huit caractères ; le premier caractère désigne la commande, tandis que les sept caractères restants correspondent à une valeur fixe. Les fonctions découvertes comprennent :
- S : vol des secrets et des paramètres Windchill, notamment la configuration LDAP, le déchiffrement du mot de passe de l’administrateur LDAP et d’autres données d’application chiffrées.
- L : inventaire des coffres de fichiers, avec extraction des noms, des chemins de stockage et des tailles des fichiers, puis enregistrement des résultats dans le fichier flst.txt.
- D et G : exploration de chemins spécifiques et lecture de parties de fichiers ou récupération du contenu d’un fichier donné.
- R : suppression d’un fichier.
- J : téléchargement d’une archive ZIP chiffrée en Base64 et exécution de code Java supplémentaire au sein du processus Windchill.
- O et E : identification du système d’exploitation et vérification de la réponse du Web Shell par la réémission des données envoyées.
Quels changements concrets pour les organisations exploitantes ?
ReliaQuest recommande d’installer immédiatement les mises à jour disponibles de Windchill et de rechercher les fichiers JSP inhabituels dans les répertoires Windchill, en particulier les fichiers faisant référence à X-windchill-req. Les organisations qui soupçonnent une compromission de leurs serveurs devraient également modifier le mot de passe de l’administrateur LDAP ainsi que les autres identifiants Windchill, ceux-ci étant considérés comme potentiellement compromis.
PTC a commencé à publier des correctifs pour la vulnérabilité CVE-2026-12569 le 17 juin, puis la CISA a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées connues après des avertissements concernant l’intensification de l’activité qui lui est associée. Cela indique que la protection du serveur ne se limite pas à l’application du correctif, mais comprend également l’examen des fichiers, des journaux et des données sensibles auxquelles l’outil a peut-être pu accéder.