Cl0pがインターネットに公開されたWindchillサーバーを狙う、エンジニアリングデータを標的とした世界規模のデータ窃取キャンペーン

Cl0pランサムウェアの関連グループが、インターネットに公開されたPTC WindchillおよびFlexPLM環境を積極的に悪用し、価値の高いエンジニアリング環境を標的とした世界規模のデータ窃取キャンペーンを展開しています。

観測された侵害後の活動には、「flst.txt」といったファイルを利用したファイルシステムの列挙が含まれ、その後に機密性の高いエンジニアリングデータや製品設計データのステージングと窃取が続きます。

この連鎖攻撃により未認証のリモートコード実行が可能となり、攻撃者は「/Windchill/login/」というパス内に16進数名のJSP Webシェルを配置できます。

ネットワークセキュリティ

影響を受けるセクターには、製造業、自動車、航空宇宙、小売・アパレル業界が含まれ、これらの業界ではWindchillが製品ライフサイクル管理のために広く導入されています。

この悪用の中心にあるのが、Windchill PDMLinkおよびFlexPLMに影響する重大なデシリアライゼーションの欠陥、CVE-2026-12569(CVSS 9.8)です。

この脆弱性は2026年6月17日に公表され、認証なしでリモートコード実行を可能にするもので、2026年6月25日にCISAの既知の悪用された脆弱性(KEV)カタログに追加されました。

証拠によると、Cl0pの関連グループは6月上旬にこの欠陥をゼロデイとして武器化し、別のFlexPLM WSDL開示の脆弱性(CVSS 7.5)と連鎖させることで、インターネットに面したシステムに対する確実な悪用を実現していたとみられます。

技術的な詳細と修復ガイダンスは、CVE-2026-12569のNVDエントリおよびPTCの公式アドバイザリから入手できます。

脅威テレメトリは、このキャンペーンに関連する特徴的な指標を明らかにしています。悪意のあるHTTPヘッダー「X-windchill-req: ?x8Fmgow」や、レスポンスサイズが4045バイトとなる「/Windchill/rfa/jsp/login/*.jsp?wsdl」へのGETリクエストといった偵察パターンが含まれます。

Webシェルの捜索では、「/Windchill/login/[0-9a-f]{16}.jsp」に一致するパスや、SHA-256「55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c」といった既知のファイルハッシュに焦点を当てるべきです。

新たに特定されたコマンド&コントロール(C2)インフラには、IPアドレス216.152.148.54、216.152.151.204、104.243.35.63、5.180.41.35が含まれ、最後の5.180.41.35は優先的にブロックすべきものとしてフラグが立てられています。

Ransom-ISACの研究者らによると、このキャンペーンは、FlexPLM WSDLエンドポイントにおける認証前の情報開示の欠陥と、Windchillログインサーブレットにおけるサーバーサイドの脆弱性を組み合わせた多段階のエクスプロイトチェーンを利用しています。

この悪用活動と並行して、Cl0pは協調的な恐喝キャンペーンを開始しています。7月20日以降、セキュリティ研究者らは「Windchill PDMLinkモジュールの重大なデータ漏洩」という件名のメールが、侵害されたアカウントから標的組織内の多数の従業員に大量送信されているのを観測しています。

セキュリティ製品・サービス

Cl0p、インターネットに公開されたWindchillを狙う

これらのメールは、Windchillシステムが侵害されたと主張し、被害者を新たに設置されたCl0pの連絡チャネルへと誘導します。

この手口は、同グループが過去に行ったOracle E-Business Suiteを標的とした恐喝活動を踏襲するものですが、圧力と信憑性を高めるために新しいインフラとメッセージングが導入されています。

活動の規模の大きさにもかかわらず、7月22日時点で、Cl0pは自らのデータリークサイトに確認済みの被害者を公開していません。

しかし、この公開情報の不在は、恐喝要求の交渉中は公表を遅らせるという同グループの過去のパターンと一致しています。

Cl0pの高い活動成熟度と、大規模なデータ恐喝キャンペーンを行ってきた実績を踏まえると、今回の活動は知的財産とサプライチェーンの完全性にとって重大なリスクとなります。

PTCはRCEおよびWSDL開示の問題の両方に対処したパッチ済みバージョンをリリースしていますが、パッチが適用されておらずインターネットに公開されたままのインスタンスは依然として極めて脆弱な状態にあります。

各組織は、PTCのセキュリティアドバイザリと修復手順を確認し、2026年6月上旬まで遡って脅威ハンティングを実施することが強く推奨されます。

このキャンペーンが今後も進展し、被害者に関する新たな公表が出てくる可能性があるため、継続的な監視が推奨されます。

侵害の痕跡(IoC)

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

注: 誤って解決やハイパーリンク化されることを防ぐため、IPアドレスとドメインは意図的にディフェング(無害化)されています(例: [.])。再度有効化(re-fang)する場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2026年、AI SOCに求められる機能とは？ 完全チェックリスト : AI SOC機能チェックリストをダウンロード