Cl0pのハッカー集団、PTC Windchillの脆弱性を悪用し独自のWebシェルを展開してデータを窃取

Cl0pランサムウェア・恐喝グループは、PTC Windchillの深刻な脆弱性を悪用し、認証情報の窃取やエンジニアリングデータの保管庫のマッピング、追加の攻撃ツールを必要としないファイル窃取を行える専用のJava製Webシェルを展開しているとみられています。

Vulnerabilityscanning tool

CVE-2026-12569として追跡されているこの脆弱性は、PTC Windchill PDMLinkおよびFlexPLMに影響を及ぼす、CVSSスコア9.3のリモートコード実行の問題です。

PTCによると、この脆弱性は信頼できないデータのデシリアライゼーションを通じて悪用される可能性があり、未認証の攻撃者が脆弱なシステム上でリモートからコードを実行できるとしています。

攻撃者たちは汎用のコマンドシェルを展開する代わりに、Windchillの内部API、キーストア機構、データベース構造、ファイル保管庫のアーキテクチャを軸に設計されたカスタムのJavaServer Pages(JSP)インプラントを使用しています。

この手法により、脅威アクターは初期アクセス直後から完全なデータ窃取プラットフォームを手に入れることになります。

このWebシェルは、Windchill固有のJavaクラス(MethodContext、WTConnection、WTKeyStoreUtilなど)をインポートしており、アプリケーションのプロセス内で動作しながら、製品が持つ信頼済みのデータベースアクセス権を利用できるようになっています。

これにより検出は大幅に困難になります。データベース上の活動は、見慣れないアカウントやホストではなく、Windchillの通常のサービスアイデンティティのもとで行われているように見える可能性があるためです。

また、ReliaQuestの調査によると、このシェルはコマンド伝達用にX-windchill-reqというカスタムHTTPヘッダーを使用し、レスポンスをGZIP圧縮しています。これにより、HTTPヘッダーをログに記録しない、TLSトラフィックを復号しない、圧縮コンテンツを検査しない、といった防御手段からは見えにくくなっています。

このシェルの最も危険な機能の一つが、Windchillのキーストアに保存された認証情報を復号する機能です。単一のコマンドで、LDAP管理者パスワード、管理者権限の認証情報、オブジェクトストレージのシークレット、その他の暗号化された設定値を平文で取得できてしまいます。

これにより、今回のインシデントは単なるPLMサーバーの侵害にとどまらず、ID(アイデンティティ)全体の侵害に発展する可能性を帯びてきます。LDAPの認証情報は、その設定や使い回しの方法次第で、Active Directoryと連携したリソースやVPNサービス、メールインフラ、データベース、その他の企業アプリケーションへのアクセスを許してしまう恐れがあります。

ReliaQuest Threat Researchはこの一連の活動を、Cl0p(Cl0pまたはCl0pランサムウェアとしても知られる)によるものだと高い確度で結び付けています。この脆弱性はすでに実際に悪用されており、CISAのKnown Exploited Vulnerabilitiesカタログにも掲載されています。

そのため、各組織は侵害されたWindchillインスタンスからアクセス可能なあらゆるシークレットが漏洩したものとみなし、下流のシステム全体にわたってそれらをローテーションする必要があります。

このインプラントには保管庫を列挙する機能も含まれており、Windchillの内部データベースに対してファイルストリームの識別子、ファイル名、保存パス、サイズなどをクエリすることができます。

Cl0p、PTC Windchillの脆弱性を悪用

この出力結果はflst.txtというファイルに書き出されると報告されており、攻撃者はデータの窃取に着手する前に、エンジニアリング文書やその他の価値の高い知的財産を体系的に把握できる状態になります。

この機能は特に製造業の組織にとって深刻な懸念材料となります。こうした企業ではWindchillが製品設計、部品表(BOM)、技術文書、開発記録などを一元管理していることが多いためです。

攻撃者はファイルシステムを手作業で探索する代わりに、アプリケーション自体が持つデータモデルを利用することで、大規模かつ効率的に最も価値の高いコンテンツを特定できます。

DataManagement

ReliaQuestはさらに、Cldrという名称のカスタムJavaクラスローダーを確認しています。これはコンパイル済みのJavaバイトコードを含むBase64エンコードされたZIPアーカイブを受け取り、メモリ上で直接実行するものです。

これによりCl0pランサムウェアは、元のJSPシェルを改変したり、必ずしも新たなファイルをディスクに書き込んだりすることなく、後続のペイロードを実行するためのバックドアを手にすることになります。次段階の活動としては、永続化、水平移動、追加の認証情報窃取、あるいはランサムウェアの展開などが考えられます。

今回のキャンペーンは、大量の機密データを保持する脆弱なエンタープライズソフトウェアを迅速に悪用するというCl0pの確立された戦略を反映したものです。

同グループは以前にも、AccellionのFTAやMOVEit Transferの脆弱性を悪用した際に、それぞれの環境に合わせたWebシェルを使用しており、汎用のシェルよりもアプリケーションを熟知した専用インプラントを繰り返し好む傾向がうかがえます。

今回のWindchill向けシェルが、専用クラスやデータベースクエリ、保管庫を操作するロジック、カスタムヘッダーによるコマンド処理などを備えている点から見て、このキャンペーン専用に開発されたものである可能性が高いといえます。

この専門特化した性質により、悪意ある挙動が正規のアプリケーションのワークフローに紛れ込む形となるため、シグネチャのみに頼る対策の効果は薄れてしまいます。

PTC WindchillまたはFlexPLMを利用している組織は、CVE-2026-12569に対するPTCの緊急修復措置を直ちに適用し、影響を受けるすべてのリリースに対応が行われていることを確認する必要があります。

運用上可能な場合は、インターネットに公開されているWindchillサービスをVPN、信頼できるアクセスゲートウェイ、あるいはWebアプリケーションファイアウォールの背後に制限すべきです。

セキュリティチームは、Windchillのコードベースディレクトリ、特に/Windchill/login/内を対象に、予期しない、あるいは最近変更されたJSPファイルがないか調査する必要があります。その際、X-windchill-req、MethodContext、WTConnection、WTKeyStoreUtilを参照しているファイルには特に注意を払うべきです。

調査担当者はまた、flst.txtの存在、/Windchill/login/*.jspへの異常なリクエスト、不審な大規模アウトバウンド転信についても確認する必要があります。

侵害が疑われる場合は、直ちにサーバーの隔離、フォレンジック証拠の保全、確認された Webシェルの除去、影響を受けたセッションの終了、そしてLDAP・管理者・ストレージ・アプリケーションの各認証情報のローテーションを実施すべきです。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(defang)されています(例: [.])。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseと共に、小規模なセキュリティチームがAIの可視性とエージェント型対応を一つの運用モデルへと統合する方法を学びましょう。 -> 今すぐ登録