Das Cybersicherheitsunternehmen ReliaQuest hat ein in Java geschriebenes Web-Shell-Tool analysiert, das vermutlich von der Clop-Bande speziell für PTC-Windchill- und FlexPLM-Server entwickelt wurde, um Daten zu stehlen. Das Tool wurde bei der Informationsbeschaffung im Zusammenhang mit Angriffen entdeckt, bei denen die kritische Schwachstelle CVE-2026-12569 ausgenutzt wurde, eine Schwachstelle zur Remotecodeausführung in Windchill.
ReliaQuest zufolge handelt es sich bei dem Tool nicht um eine wiederverwendete allgemeine Web-Shell, sondern um ein Werkzeug, das mit detaillierten Kenntnissen der internen Windchill-Schnittstellen, des Datenbankschemas, des Schlüsselspeichers und der von der Anwendung verwendeten Dateitresorstruktur entwickelt wurde. Das Unternehmen beschreibt diese Entwicklung als maßgeschneiderte Erweiterung der bekannten Vorgehensweise von Clop, Unternehmensplattformen auszunutzen, Daten zu stehlen und die betroffenen Organisationen anschließend zu erpressen.
Hinweise auf eine Verbindung des Tools zur Clop-Bande
Die Forscher bringen die Aktivität anhand mehrerer Indikatoren mit der Bande in Verbindung. Dazu gehören Erpressungsnachrichten mit Adressen, die auf der Datenleckseite von Clop verwendet wurden, das Vorhandensein von X-windchill-req-Headern, die bereits im Tool beobachtet wurden, sowie bei den Angreifern verbreitete Betriebsweisen und Techniken. Ransom-ISAC bestätigte später die mit diesen Angriffen verbundene Clop-Aktivität, einschließlich des Versands von Erpressungsnachrichten an Hunderte Beschäftigte betroffener Organisationen.
Die Kampagne reiht sich in die lange Liste der Angriffe der Bande auf Plattformen zur Übertragung und Verwaltung von Dateien ein, darunter Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer. Die frühere MOVEit-Kampagne betraf weltweit mehr als 2.770 Organisationen.
In Windchill integrierte Funktionen
Das Tool importiert Windchill-spezifische Klassen, darunter MethodContext, WTConnection und WTKeyStoreUtil. Diese Klassen ermöglichen die Nutzung der anwendungseigenen Funktionen, um auf die Datenbank zuzugreifen, gespeicherte Zugangsdaten zu entschlüsseln und die in den Anwendungstresoren vorhandenen Dateien zu bestimmen.
Das Tool verbindet sich über die bestehende Identität des Anwendungsdienstes mit der Windchill-Datenbank, anstatt für den Angreifer ein separates Datenbankkonto anzulegen. Dadurch können einige Abfragen in den Datenbankprotokollen so erscheinen, als stammten sie von der üblichen Dienstidentität. Dies verringert die Wirksamkeit von Warnmeldungen, die ausschließlich auf der Erkennung neuer Konten oder ungewohnter Verbindungsquellen beruhen.
Steuerbefehle werden über einen HTTP-Header mit dem Namen X-windchill-req gesendet, der aus acht Zeichen besteht. Das erste Zeichen bestimmt den Befehl, während die übrigen sieben Zeichen einem festen Wert entsprechen. Zu den entdeckten Funktionen gehören:
- S: Diebstahl von Windchill-Geheimnissen und -Konfigurationen, einschließlich der LDAP-Konfiguration sowie der Entschlüsselung des LDAP-Administratorpassworts und weiterer verschlüsselter Anwendungsdaten.
- L: Auflistung der Dateitresore mit Extraktion von Dateinamen, Speicherpfaden und Dateigrößen sowie Speicherung der Ergebnisse in der Datei flst.txt.
- D und G: Durchsuchen bestimmter Pfade und Lesen von Dateiausschnitten oder Abrufen des Inhalts einer bestimmten Datei.
- R: Löschen einer Datei.
- J: Hochladen eines mit Base64 verschlüsselten ZIP-Archivs und Ausführen zusätzlichen Java-Codes innerhalb des Windchill-Prozesses.
- O und E: Ermitteln des Betriebssystems und Überprüfen der Antwort der Web-Shell durch Zurücksenden der übermittelten Daten.
Was ändert sich dadurch praktisch für Betreiber?
ReliaQuest empfiehlt, verfügbare Windchill-Updates umgehend zu installieren und nach ungewöhnlichen JSP-Dateien in Windchill-Verzeichnissen zu suchen, insbesondere nach Dateien, die auf X-windchill-req verweisen. Organisationen, die einen Kompromittierungsverdacht ihrer Server haben, sollten außerdem das LDAP-Administratorkennwort und andere Windchill-Zugangsdaten ändern, da diese als kompromittiert gelten müssen.
PTC begann am 17. Juni mit der Veröffentlichung von Sicherheitsupdates für die Schwachstelle CVE-2026-12569. Anschließend nahm CISA die Schwachstelle nach Warnungen vor einer zunehmenden damit verbundenen Aktivität in den Katalog der bekannten ausgenutzten Schwachstellen auf. Dies zeigt, dass der Schutz des Servers nicht auf die Installation des Patches beschränkt ist, sondern auch die Überprüfung von Dateien, Protokollen und vertraulichen Daten umfasst, auf die das Tool möglicherweise zugreifen konnte.