A empresa de cibersegurança ReliaQuest analisou uma ferramenta Web Shell escrita em Java, que provavelmente foi desenvolvida pela gangue Clop especificamente para servidores PTC Windchill e FlexPLM com o objetivo de realizar operações de roubo de dados. A ferramenta foi encontrada durante a coleta de informações relacionada a ataques que exploraram a vulnerabilidade crítica CVE-2026-12569, uma vulnerabilidade de execução remota de comandos no Windchill.
A ReliaQuest considera que a ferramenta não é um Web Shell genérico reutilizado, mas foi criada com conhecimento detalhado das interfaces internas do Windchill, de seu esquema de banco de dados, de seu armazenamento de chaves e da estrutura dos cofres de arquivos utilizados pelo aplicativo. A empresa descreve esse desenvolvimento como uma extensão personalizada do método conhecido da Clop de explorar plataformas corporativas, roubar dados e depois extorquir as entidades afetadas.
Indicadores que vinculam a ferramenta à gangue Clop
Os pesquisadores associam a atividade à gangue com base em vários indicadores, incluindo mensagens de extorsão que continham endereços usados no site de vazamento de dados da Clop, a presença dos cabeçalhos X-windchill-req, observados anteriormente na ferramenta, além de métodos e técnicas operacionais comuns entre os invasores. Posteriormente, a Ransom-ISAC confirmou a atividade da Clop relacionada a esses ataques, incluindo o envio de mensagens de extorsão a centenas de funcionários das instituições afetadas.
A campanha faz parte do longo histórico da gangue de visar plataformas de transferência e gerenciamento de arquivos, como Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer. A campanha anterior contra o MOVEit afetou mais de 2.770 organizações em todo o mundo.
Capacidades integradas ao Windchill
A ferramenta importa classes específicas do Windchill, entre elas MethodContext, WTConnection e WTKeyStoreUtil. Essas classes permitem usar as próprias funções do aplicativo para acessar o banco de dados, descriptografar credenciais armazenadas e identificar os arquivos existentes nos cofres do aplicativo.
A ferramenta se conecta ao banco de dados do Windchill usando a identidade de serviço existente do aplicativo, em vez de criar uma conta de banco de dados separada para o invasor. Como resultado, algumas consultas podem aparecer nos registros do banco de dados como se tivessem sido emitidas pela identidade de serviço habitual, reduzindo a eficácia dos alertas que dependem apenas da detecção de novas contas ou de fontes de conexão incomuns.
Os comandos de controle são enviados por meio de um cabeçalho HTTP chamado X-windchill-req, composto por oito caracteres; o primeiro caractere determina o comando, enquanto os sete caracteres restantes correspondem a um valor fixo. As funções descobertas incluem:
- S: roubar segredos e configurações do Windchill, incluindo a configuração de LDAP, descriptografar a senha do administrador de LDAP e obter outros dados de aplicativos criptografados.
- L: listar os cofres de arquivos, extraindo nomes de arquivos, caminhos de armazenamento e tamanhos, e salvando os resultados no arquivo flst.txt.
- D e G: navegar por caminhos específicos e ler partes dos arquivos ou recuperar o conteúdo de um arquivo específico.
- R: excluir um arquivo.
- J: carregar um arquivo ZIP codificado em Base64 e executar código Java adicional dentro do processo do Windchill.
- O e E: identificar o sistema operacional e verificar a resposta do Web Shell reenviando os dados transmitidos.
O que muda, na prática, para as entidades operadoras?
A ReliaQuest recomenda instalar imediatamente as atualizações disponíveis do Windchill e procurar arquivos JSP incomuns dentro das pastas do Windchill, especialmente arquivos que façam referência a X-windchill-req. As entidades que suspeitarem que seus servidores foram comprometidos também devem alterar a senha do administrador de LDAP e as demais credenciais do Windchill, considerando-as potencialmente comprometidas.
A PTC começou a disponibilizar correções para a vulnerabilidade CVE-2026-12569 em 17 de junho, e posteriormente a CISA adicionou a vulnerabilidade ao catálogo de vulnerabilidades exploradas conhecidas após alertas sobre o aumento da atividade relacionada a ela. Isso indica que proteger o servidor não se limita à aplicação do patch, mas também inclui a revisão dos arquivos, registros e dados confidenciais aos quais a ferramenta talvez tenha conseguido acessar.