Clop、Windchillのデータ窃取攻撃用にカスタムWebシェルを作成

PTC WindchillおよびFlexPLMサーバーを標的とするために特別に設計されたカスタムJava製Webシェルが確認されました。Clopランサムウェア集団との関連が疑われるこのWebシェルには、認証情報の復号、ファイルリポジトリの列挙、ファイル窃取を行う機能が組み込まれています。

サイバーセキュリティ企業のReliaQuestは、PTC Windchillに影響を及ぼす深刻なリモートコード実行の脆弱性CVE-2026-12569を悪用した最近のデータ窃取攻撃において、このWebシェルが展開されたとみられることを受けて解析を行いました。

ReliaQuestによると、このインプラントは攻撃向けに転用された汎用的なWebシェルではなく、Windchillの内部API、データベーススキーマ、キーストア、ファイルボールト構造について詳細な知識を持った上で構築されているとのことです。

ReliaQuestはBleepingComputerと共有したレポートの中で、「これはClopが確立してきた大規模悪用の手口が、アプリケーション特化型に進化したものとみられる」と述べています。

研究者らは、インテリジェンス収集の過程でこのWebシェルを発見したとしています。

研究者らによれば、今回の活動がClopに関連している可能性が高い根拠として、ランサムウェア集団のデータ漏洩サイトで使用されているアドレスを含む恐喝メール、Webシェルでも使用が確認されていた既知のX-windchill-reqヘッダー、そして同集団が一般的に用いるTTPs(戦術・技術・手順)が挙げられています。

Clop恐喝集団は、エンタープライズ向けプラットフォームを侵害してデータを窃取する攻撃の長い実績を持っています。過去のキャンペーンではAccellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、そしてMOVEit Transferのファイル共有サーバーを標的にしており、このうちMOVEit Transferの件では世界中で2,770を超える組織が影響を受けました。

BleepingComputerが7月に報じたとおり、Clopは公開状態のPTC WindchillおよびFlexPLMサーバーを標的とし、CVE-2026-12569の悪用とJSP製Webシェルの展開を伴うデータ窃取型の恐喝キャンペーンを展開していました。

当時、ReliaQuestは攻撃者の正体について確証は得られていないとしつつも、今回の攻撃は安全なファイル共有アプリケーションを標的とした過去のClopによるデータ窃取キャンペーンと類似点があると述べていました。

その後、Ransom-ISACは今回の攻撃がClopによるものであることを確認しました。被害組織の従業員数百人に恐喝メールが送付されており、そこにはこの集団の最新の連絡先情報が記載されていたとのことです。

PTCはCVE-2026-12569に対する修正プログラムを6月17日から順次公開しており、その後CISAは、脅威活動の活発化に関する警告を受けて、この脆弱性を既知の悪用された脆弱性(KEV)カタログに追加しました。

Windchill専用に構築されたWebシェル

ReliaQuestとBleepingComputerによる解析の結果、このツールは汎用的なWebシェルとしてではなく、Windchillサーバーを標的とすることを前提に設計されていることが確認されました。

このマルウェアはJavaServer Pages(JSP)形式のWebシェルであり、MethodContext、WTConnection、WTKeyStoreUtilといったWindchill固有のクラスを直接インポートしています。

これらのクラスにより、このWebシェルはWindchill自体の機能を利用して、データベースへのアクセス、保存された認証情報の復号、アプリケーションボールト内に保存されたファイルの特定を行うことができます。

ReliaQuestは次のように説明しています。「このWebシェルは、アプリケーション自体のMethodContextおよびWTConnectionクラスを介してWindchillのデータベースに接続します。つまり、そのクエリは別途設定された攻撃者用アカウントではなく、アプリケーション既存のデータベースIDのもとで実行されるのです」。

「その結果、データベースのテレメトリはこの活動をアプリケーションの通常のサービスIDによるものと誤って判断してしまう可能性があり、新規アカウントや想定外の送信元ホストの検知のみに依存するアラートの有効性が損なわれることになります」。

このWebシェルはHTTP X-windchill-reqヘッダーを通じて送信されるカスタムプロトコルによって制御されます。このヘッダーは8文字で構成されており、先頭の1文字がコマンドを指定し、残りの7文字は固定値と一致する仕組みです。

このWebシェルは以下のコマンドに対応しています。

• S — Windchillの機密情報・設定の窃取:Windchillのlast LDAP設定を読み取り、アプリケーション自体のWTKeyStoreUtil.decryptProperty()関数を使ってLDAPマネージャーパスワードやその他の暗号化されたアプリケーションデータを復号します。
• L — Windchillのファイルボールトのマッピング:Windchillのデータベースからファイル名、保存パス、ファイルサイズを検索します。結果はflst.txtという名前のファイルに書き出され、攻撃者はGコマンドを使ってこれを取得できます。
• D — ディレクトリの列挙とファイルの取得:指定されたパスを列挙し、ファイルの一部を読み取ります。
• G — ファイルの読み取り:指定されたファイルの内容を取得します。
• R — ファイルの削除:指定されたファイルを削除します。
• J — 追加のJavaコードの読み込みと実行:Base64エンコードされたZIPアーカイブを渡し、コンパイル済みのJavaバイトコードを直接メモリ上に読み込んで、Windchillのプロセス内で実行します。
• O — オペレーティングシステムの特定:オペレーティングシステム名を返します。
• E — 受け取ったデータのエコー:X-windchill-prmヘッダー内のデータをエコーし、Webシェルが応答していることを確認します。

ReliaQuestによると、このWebシェルのボールト列挙機能は、Windchillのデータベース内の特定のテーブルを照会するように専用設計されているとのことです。BleepingComputerの解析では、これらのテーブルはApplicationData、FVITEM、FVMOUNT、MasteredOnReplicaItemであることが確認されています。

同社は、脆弱性のあるWindchillシステムを直ちにパッチ適用すること、そしてWindchillのディレクトリ内、特にX-windchill-reqへの参照を含む不審なJSPファイルがないか確認することを組織に推奨しています。

自社のWindchillサーバーが侵害された疑いがある組織は、LDAPマネージャーパスワードをはじめとするWindchillの認証情報についても、すでに漏洩したものとみなして変更する必要があります。