Windchill diventa un estrattore di credenziali e file
PTC Windchill e FlexPLM non sono stati colpiti da un web shell generico: ReliaQuest ha trovato un impianto Java costruito apposta per quelle piattaforme, usato negli attacchi di furto dati legati a Clop e a CVE-2026-12569. Il punto non è solo l’accesso iniziale. Il codice conosce già dove Windchill conserva segreti e file, e può trasformare la stessa applicazione in un canale di esfiltrazione.
ReliaQuest riferisce che il web shell sa decifrare credenziali memorizzate, interrogare i repository come farebbe uno strumento di amministrazione e scegliere i file da sottrarre. In pratica, l’attaccante non si limita a lasciare una porta aperta: usa le strutture interne del prodotto contro il prodotto stesso, con un recupero di segreti che rende incompleto il solo racconto di “rimozione del web shell”.
Per chi gestisce Windchill, FlexPLM o PDMlink, questo indica un pattern di compromissione più profondo di una semplice presenza sul server. Se l’impianto ha avuto tempo di operare, credenziali e dati di repository vanno trattati come già passati nelle mani dell’attaccante, non come beni ancora protetti dal solo fix.