PTC Windchill non è più solo un bersaglio di data theft: ReliaQuest ha trovato un JSP web shell usato da Clop su Windchill e FlexPLM capace di decriptare le credenziali salvate e mappare i vault, mentre il gruppo ha ora nominato più di 40 vittime.
Il punto non è un web shell generico che esegue comandi. Questo implant conosce già dove Windchill conserva i suoi segreti, legge il keystore, recupera credenziali valide e può caricare altro codice in memoria, così il furto iniziale diventa accesso più profondo e più duraturo.
Per chi usa PTC Windchill o PTC FlexPLM, la correzione della falla non basta a chiudere il caso se i segreti applicativi sono già usciti: il rischio si sposta su riuso delle credenziali e accessi successivi nei sistemi collegati. Clop sta mostrando una campagna più ampia e più matura, non un singolo colpo su un server PLM.
The data theft extortion group likely compromised a critical vulnerability affecting PTC’s product lifecycle management software in June, a month before it sent threatening emails to victims.
A custom Java web shell likely linked to the Clop ransomware gang was designed specifically for PTC Windchill and FlexPLM servers, with built-in features to decrypt credentials, enumerate file repositories, and steal files.