サイバーセキュリティ企業ReliaQuestは、Clopランサムウェアグループがデータ窃取を目的としてPTC WindchillおよびFlexPLMサーバー向けに特別に開発したと推測される、Javaで記述されたWebシェルを分析した。このツールは、Windchillにおけるリモートコマンド実行の脆弱性であるCVE-2026-12569を悪用した攻撃に関連する情報収集の過程で発見された。
ReliaQuestは、このツールが再利用された汎用Webシェルではなく、Windchillの内部インターフェース、データベーススキーマ、鍵ストア、アプリケーションが使用するファイル保管庫の構造に関する詳細な知識をもとに構築されたものだとみている。同社はこの発展を、企業向けプラットフォームを悪用してデータを窃取し、被害組織を恐喝するというClopの既知の手法を特化させたものと説明している。
このツールとClopランサムウェアグループを結び付ける指標
研究者は、複数の指標に基づいてこの活動を同グループと関連付けている。その中には、Clopのデータ漏えいサイトで使用されたアドレスを含む恐喝メッセージ、以前このツールで確認されたX-windchill-reqヘッダー、攻撃者に共通する運用上の手法や技術が含まれる。Ransom-ISACはその後、被害を受けた組織の数百人の従業員に恐喝メッセージを送信したことを含め、これらの攻撃に関連するClopの活動を確認した。
このキャンペーンは、Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、MOVEit Transferなど、ファイル転送およびファイル管理プラットフォームを標的としてきた同グループの長い実績の一環である。以前のMOVEitキャンペーンでは、世界中で2,770以上の組織が影響を受けた。
Windchillに組み込まれた機能
このツールは、MethodContext、WTConnection、WTKeyStoreUtilなど、Windchill固有のクラスをインポートする。これらのクラスにより、アプリケーション自体の機能を利用してデータベースにアクセスし、保存された認証情報を復号し、アプリケーションのファイル保管庫に存在するファイルを特定できる。
このツールは、攻撃者用に別のデータベースアカウントを作成するのではなく、既存のアプリケーションサービスIDを介してWindchillデータベースに接続する。その結果、一部のクエリは通常のサービスIDから発行されたようにデータベースログに記録される可能性があり、新規アカウントや見慣れない接続元の検出だけに依存するアラートの有効性が低下する。
制御コマンドは、X-windchill-reqという名前のHTTPヘッダーを介して送信される。このヘッダーは8文字で構成され、最初の文字がコマンドを指定し、残りの7文字は固定値と一致する。確認された機能は次のとおり。
- S: LDAP設定、LDAP管理者パスワードの復号、その他の暗号化されたアプリケーションデータを含む、Windchillの秘密情報と設定を窃取する。
- L: ファイル保管庫を一覧表示し、ファイル名、保存パス、サイズを抽出して、結果をflst.txtファイルに保存する。
- DおよびG: 指定されたパスを参照し、ファイルの一部を読み取るか、特定ファイルの内容を取得する。
- R: ファイルを削除する。
- J: Base64で暗号化されたZIPアーカイブをアップロードし、Windchillプロセス内で追加のJavaコードを実行する。
- OおよびE: オペレーティングシステムを特定し、送信されたデータを返すことでWebシェルの応答を確認する。
運用組織にとって実際に何が変わるのか
ReliaQuestは、利用可能なWindchill更新を直ちにインストールし、Windchillフォルダー内にある不審なJSPファイル、特にX-windchill-reqを参照するファイルを検索するよう推奨している。また、サーバーが侵害された疑いがある組織は、LDAP管理者パスワードおよびその他のWindchill認証情報を、侵害された可能性があるものとして変更すべきである。
PTCは6月17日にCVE-2026-12569の修正の提供を開始し、その後、関連する活動の増加に関する警告を受けて、CISAはこの脆弱性を既知の悪用された脆弱性カタログに追加した。これは、サーバーの保護がパッチの適用だけにとどまらず、ツールがアクセスできた可能性のあるファイル、ログ、機密データの確認も含むことを示している。