エンジニアリング設計図や独自のプロジェクト文書を安全に保管するために設計された企業システムが、サイバー犯罪者にとって実入りの良い恐喝の手段へと変貌しています。悪意ある攻撃者はPTC WindchillおよびFlexPLMサーバーへの侵入を積極的に行い、貴重な知的財産を窃取したうえで、データを公開すると脅す不穏なメールを従業員に大量送信しています。
攻撃手法：複数の重大脆弱性の連鎖悪用
脅威インテリジェンスの専門家は、この巧妙な攻撃を悪名高いCl0pランサムウェア集団の関連グループによるものと広く見なしています。Ransom-ISACによる勧告、およびeCrime.chとDEFUSEDの調査結果によれば、犯人らはインターネットに露出したサーバーを積極的にスキャンしています。標的を発見すると、2つの異なる脆弱性を巧みに連鎖させて悪用します。1つ目の脆弱性は、認証前にFlexPLMサービスの詳細情報を意図せず漏えいさせるものです。2つ目の、より深刻な脆弱性は、Windchillの認可コンポーネントを介した任意コード実行を可能にします。
侵入に成功すると、攻撃者はランダムな16文字の16進数ファイル名で偽装した悪意あるJSP Webシェルを設置します。この隠密な操作インターフェースを通じて、攻撃集団は任意のコマンドをリモートで実行し、ディレクトリ構造を探索し、機密文書を計画的に窃取用に準備します。その結果、このキャンペーンは製造業、自動車、航空宇宙、小売、アパレルなど多様な業種の被害者を巻き込んでいます。
CVE-2026-12569：攻撃の重大な入口
このキャンペーンにおける主要な侵入口はCVE-2026-12569で、CVSSスコアは最大値の9.8という重大な脆弱性です。この深刻な欠陥は、認証されていないリモートの攻撃者が標的サーバー上で任意のコードを直接実行することを可能にします。これを受けてPTCは迅速にパッチ適用済みバージョンを公開し、顧客に対して直ちにシステムを更新するよう強く呼びかけました。事態の深刻さを裏付けるように、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は6月25日、この脆弱性を既知の悪用された脆弱性(KEV)カタログに追加しています。
セキュリティ研究者は、公に開示される以前の6月上旬から、攻撃者がこのゼロデイ脆弱性の悪用を開始していたとみています。本格的な攻撃を仕掛ける前、犯人らは日常的にWindchillのサービスエンドポイントを探査し、脆弱なサーバーを特定していました。侵害後のフォレンジック分析では、窃取されたデータの一覧を含むflst.txtファイルがディスク上に残されているケースが頻繁に確認されています。
恐喝の手口：7月20日のエスカレーション
このキャンペーンの不穏な新段階は7月20日に始まりました。侵害を受けた組織の従業員たちは、「Windchill PDMLinkモジュールで深刻なデータ漏えい」という不吉な件名のメールを標的として受け取り始めました。送信者は、脆弱なPTC製ソフトウェアを通じて企業ネットワークに侵入したと大胆に主張しています。経営陣への心理的圧力を最大化するため、これらの恐喝メールは被害企業1社につき数百人の従業員へ無差別に送りつけられました。
この大量配信を実行するため、犯人らはおそらく事前に侵害していた無関係なメールアカウントを乗っ取って利用したとみられます。重要な点として、これらのメールにはCl0p集団に連絡させるための新しい連絡先アドレスが記載されていました。この攻撃的な手口は、同集団が過去にOracle E-Business Suite環境を標的に行った大量恐喝キャンペーンと酷似しています。
攻撃者の特定と対策
恐喝メールは明確にCl0pとの連絡を要求していますが、技術的な観点からの確定的な帰属特定はまだなされていません。ReliaQuestはCVE-2026-12569の悪用が活発に行われていることを確認していますが、犯人の正体はまだ確定的に特定していません。とはいえ、その巧妙な侵入手法と、価値の高い企業リポジトリを狙う執拗な標的選定は、Cl0p集団のこれまでの手口を強く彷彿とさせます。
各組織は直ちにPTCのパッチを適用し、WindchillおよびFlexPLMのすべてのインターフェースへの直接的なインターネットアクセスを断固として遮断する必要があります。アクセスは、安全な企業VPNまたは信頼できるゼロトラストゲートウェイを経由することを厳格に義務付けるべきです。管理者が侵害の兆候を検知した場合は、直ちにサーバーを隔離し、フォレンジックログを保全したうえで、侵害された可能性のある認証情報や暗号鍵をすべて体系的にローテーションする必要があります。
7月22日時点で、Cl0pはこれら特定の被害者名をダークウェブのリークサイトにまだ公開していません。しかし、従業員への攻撃的な大量メール送信は、犯人らが秘密裏のデータ収集から、公然かつ高圧的な恐喝へと明確に段階を移行したことを示しています。
翻訳元: https://meterpreter.org/cl0p-affiliates-exploit-ptc-windchill/
