Un web shell Java personalizzato, attribuito al gruppo ransomware Clop, è stato creato per colpire i server PTC Windchill e FlexPLM sfruttando la vulnerabilità critica CVE-2026-12569, consentendo il furto di dati aziendali sensibili.
Un nuovo web shell Java, progettato specificamente per i server PTC Windchill e FlexPLM, è stato attribuito al gruppo ransomware Clop e utilizzato in recenti campagne di furto dati. L'analisi di ReliaQuest ha rivelato che questo strumento malevolo non è una semplice variante generica, ma un'implementazione sviluppata con una profonda conoscenza delle API interne, dello schema del database e della struttura dei file vault di Windchill.
Secondo ReliaQuest, il web shell è stato impiantato sfruttando la vulnerabilità critica CVE-2026-12569, che permette l'esecuzione di codice remoto sui sistemi Windchill. Gli esperti sottolineano che l'attività è stata collegata a Clop grazie a diversi indicatori: indirizzi email di estorsione già usati dal gruppo, header HTTP X-windchill-req osservati anche in precedenti campagne e tecniche operative tipiche dei criminali.
Funzionalità avanzate per il furto di dati
Il web shell, sviluppato come file JSP, importa direttamente classi specifiche di Windchill come MethodContext, WTConnection e WTKeyStoreUtil. Questo consente di accedere al database dell'applicazione, decifrare credenziali archiviate e individuare file nei vault, tutto sfruttando le stesse identità di servizio dell'applicazione, rendendo difficile distinguere le attività malevole da quelle legittime nei log.
Il controllo avviene tramite un protocollo personalizzato nel header HTTP X-windchill-req, che permette di impartire comandi come:
- Estrazione e decifratura delle credenziali LDAP e delle configurazioni sensibili
- Mappatura dei file vault e generazione di elenchi dettagliati dei file
- Enumerazione di directory e lettura o cancellazione di file specifici
- Caricamento ed esecuzione di codice Java aggiuntivo in memoria
- Identificazione del sistema operativo e verifica della reattività del web shell
Le query del web shell sono ottimizzate per interrogare tabelle chiave del database Windchill, come ApplicationData, FVITEM, FVMOUNT e MasteredOnReplicaItem, dimostrando la profonda conoscenza tecnica degli autori.
Impatto e raccomandazioni per le aziende
Clop ha già una lunga storia di attacchi a piattaforme enterprise, avendo preso di mira in passato soluzioni come Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer, con impatti globali su migliaia di organizzazioni.
La campagna contro Windchill e FlexPLM, confermata anche da Ransom-ISAC, ha visto l'invio di email di estorsione a centinaia di dipendenti delle aziende colpite. PTC ha iniziato a rilasciare patch per CVE-2026-12569 dal 17 giugno, mentre CISA ha inserito la vulnerabilità nel suo catalogo delle minacce note, segnalando l'urgenza di intervenire.
ReliaQuest raccomanda alle organizzazioni di aggiornare immediatamente i sistemi Windchill vulnerabili, monitorare la presenza di file JSP sospetti nelle directory dell'applicazione e cambiare le credenziali LDAP e altre password compromesse. In un contesto di minacce sempre più sofisticate, come già evidenziato anche da campagne malware su altri sistemi, tra cui recenti attacchi AmnesiaStealer su macOS, la tempestività nella gestione delle vulnerabilità è fondamentale per limitare i danni.
