Clop ransomware menargetkan Windchill, FlexPLM dalam serangan pencurian data

Geng ransomware Clop (juga dilacak sebagai Cl0p) menargetkan instance PTC Windchill dan FlexPLM yang terpapar Internet dalam kampanye pemerasan pencurian data baru.

Clop dilaporkan telah mengeksploitasi kerentanan kritis validasi input yang tidak tepat yang dilacak sebagai CVE-2026-12569yang memungkinkan penyerang mengeksekusi kode arbitrer pada instance Windchill dan FlexPLM yang rentan.

Seperti yang dilaporkan oleh perusahaan keamanan siber ReliaQuest pada hari Kamis, operator Clop telah menerapkan webshell JSP yang memungkinkan mereka mengekstrak data sensitif dari platform PLM perusahaan target yang telah disusupi.

“ReliaQuest telah mengamati pelaku ancaman yang secara aktif mengeksploitasi CVE-2026-12569, sebuah kerentanan deserialisasi kritis yang tidak aman (CVSS 9.3) yang memengaruhi PTC Windchill dan FlexPLM. Eksploitasi memungkinkan eksekusi kode jarak jauh yang tidak diautentikasi dan penerapan shell web JSP untuk eksekusi perintah jarak jauh dan penyelundupan data produk yang sensitif,” kata perusahaan itu.

“Pelaku di balik serangan ini masih belum dapat dikonfirmasi. Namun, serangan yang diamati memiliki karakteristik yang sama dengan kampanye Cl0p sebelumnya yang menargetkan aplikasi perusahaan dan penyimpanan data bernilai tinggi.”

Serangan Windchill dan FlexPLM Clop juga terjadi dikonfirmasi kemarin oleh Ransomware Information Sharing and Analysis Center (Ransom-ISAC), sebuah organisasi nirlaba yang didedikasikan untuk pelacakan dan pertahanan terhadap ancaman ransomware.

Brandon Parsons dari Ascent Solutions dari Ransom-ISAC mengatakan kepada BleepingComputer bahwa Clop menggunakan akun email yang sebelumnya telah disusupi untuk mengirim pesan pemerasan ke beberapa karyawan organisasi yang ditargetkan.

“Email pemerasan tampaknya berasal dari akun yang disusupi secara acak, dikirim ke ratusan pengguna dalam organisasi yang terkena dampak dan menyertakan informasi kontak terbaru Cl0p,” kata Parsons. “Pendekatan pemerasan ini konsisten dengan apa yang kami amati pada kampanye Oracle EBS tahun lalu, kecuali penggunaan alamat email baru.”

Seperti yang telah dipelajari oleh BleepingComputer, merupakan taktik umum yang dilakukan kelompok kejahatan dunia maya ini untuk mengubah alamat email sebelum meluncurkan kampanye pemerasan baru.

Ditandai sebagai dieksploitasi secara aktif dalam serangan

PTC dimulai merilis patch keamanan untuk kelemahan CVE-2026-12569 pada tanggal 17 Juni dan, meskipun tidak mengkonfirmasi eksploitasi di alam liar, mereka merilis panduan remediasi dalam bentuk penasihat swasta dan mendesak pelanggan untuk meninjau lingkungan mereka untuk mencari indikator kompromi (IOC).

Setelah PTC memperingatkan pelanggan tentang “aktivitas ancaman yang meningkat” pada tanggal 26 Juni, Badan Keamanan Siber dan Infrastruktur (CISA) ditambahkan kerentanan terhadap katalog Kerentanan yang Diketahui dan Dieksploitasi dan memerintahkan lembaga federal AS untuk mengamankan mesin PTC Windchill dan FlexPLM mereka dalam waktu tiga hari.

Menurut Outlet berita Jerman HeiseCVE-2026-12569 juga mendorong tindakan darurat dari otoritas Jerman, dengan Kantor Federal untuk Keamanan Informasi (BSI) mengirim email dan menelepon pelanggan PTC di tengah malam dan memperingatkan mereka untuk melakukan patch sistem mereka secepat mungkin.

otoritas Jerman bereaksi dengan urgensi yang sama pada bulan Maret setelah laporan bahwa kelemahan kritis serupa pada Windchill dan FlexPLM (CVE-2026-4681) mungkin dieksploitasi atau kemungkinan besar akan segera dieksploitasi.

Pada hari Kamis, ReliaQuest menyarankan pelanggan PTC untuk menambal sistem Windchill dan FlexPLM dan menempatkannya di belakang VPN atau gateway akses tepercaya jika memungkinkan. Selain itu, jika mereka mencurigai adanya penyusupan, mereka harus mengisolasi server yang terkena dampak, mengumpulkan artefak forensik, dan merotasi kredensial yang terbuka sebelum memulihkan layanan.

Juru bicara PTC tidak dapat dihubungi untuk dimintai komentar ketika dihubungi oleh BleepingComputer awal pekan ini.

PTC Windchill dan PTC FlexPLM adalah platform perangkat lunak perusahaan dalam kategori yang dikenal sebagai Manajemen Siklus Hidup Produk (PLM) dan digunakan untuk melacak, merancang, dan mengelola produk mulai dari ide awal hingga produksi akhir.

Kedua sistem PLM ini sangat populer di kalangan tim teknik, manufaktur, kualitas, dan rantai pasokan di seluruh perusahaan terkenal di sektor kedirgantaraan, pertahanan, otomotif, mesin berat, ritel, dan teknologi medis. PTC mengatakan bahwa produknya digunakan oleh lebih dari 30.000 pelanggan di seluruh dunia, termasuk lebih dari 1.500 pelanggan merek dan ritel yang menggunakan FlexPLM.

Kampanye pencurian data Clop

Geng pemerasan Clop memiliki sejarah panjang dalam melanggar platform perusahaan dalam serangan pencurian data, dengan kampanye sebelumnya yang menargetkan Akselion FTA, Pergi Ke Mana Saja MFT, SolarWinds Melayani-U FTP, CleoDan PINDAHKAN Transfer server berbagi file, yang terakhir mempengaruhi lebih dari 2.770 organisasi di seluruh dunia.

Baru-baru ini, itu mengeksploitasi kelemahan zero-day Oracle EBS untuk mencuri file sensitif dari banyak organisasi sejak itu awal Agustus 2025termasuk Universitas Harvard, Washington Post, Logika Global, Universitas Pennsylvania, Logitech, Estee Lauder, Udara KoreaDan Anak perusahaan American Airlines, Envoy Air.

Setelah melanggar sistem mereka dan mengambil dokumen sensitif, Clop menerbitkan data yang dicuri di situs kebocoran web gelapnya, sehingga tersedia untuk diunduh melalui Torrent jika korban menolak membayar uang tebusan.

Departemen Luar Negeri AS sekarang menawarkan hadiah $10 juta untuk mendapatkan informasi yang dapat mengaitkan serangan geng kejahatan dunia maya ini dengan pemerintah asing.

Pembaruan 24 Juli, 07:42 EDT: Menambahkan informasi lebih lanjut tentang serangan dari Ransom-ISAC.