ランサムウェア・恐喝グループのCl0pが、PTC Windchillに存在する深刻なリモートコード実行(RCE)脆弱性CVE-2026-12569を悪用し、大規模なデータ窃取を目的として構築されたカスタムWebシェルを展開していると報告されています。
ReliaQuest Threat Researchは、今回のキャンペーンがCl0p(別名Cl0p)に関連している可能性が非常に高いと評価しています。
この脆弱性のCVSSスコアは9.3で、エンジニアリング文書や製品設計、その他の機密性の高い知的財産を保存する広く利用されている製品ライフサイクル管理プラットフォーム、PTC Windchillに影響します。
主にリモートコマンド実行機能を提供する一般的なWebシェルとは異なり、このインプラントはWindchillの内部アーキテクチャに合わせて作り込まれています。
ファイルボールトの列挙、ファイルの読み取り、アプリケーションのキーストアに保存された認証情報の復号、そして別途攻撃者側のツールを必要とせずに窃取データを転送することが可能です。
今回の活動は、価値あるデータを保持するインターネット公開型の企業アプリケーションが抱える深刻なリスクを浮き彫りにしています。
Windchillサーバーが侵害された場合、エンジニアリングファイルだけでなく、接続された企業サービスへのアクセスを可能にする認証情報も流出する恐れがあります。
カスタムJavaServer Pages(JSP)Webシェルには、Windchillのコンポーネントを悪用するために特別に設計された機能が含まれています。あるコマンドを実行すると、プラットフォームが保存しているディレクトリ管理用および管理者用の認証情報を取得できます。
この調査によると、当該シェルはWindchillの設定ファイルを読み取り、アプリケーションのキーストアから暗号化された値を復号します。
これらにはLDAPマネージャーのパスワード、管理者の認証情報、オブジェクトストレージのシークレット、サイト管理者用のキーなどが含まれる可能性があります。
特に懸念されるのはLDAP認証情報の流出です。こうしたアカウントは、Active Directory、メール、VPNサービス、その他の一元化されたディレクトリ認証に依存するシステムへのアクセスを許してしまう可能性があります。
つまり、脆弱性のあるWindchillサーバー1台が、より広範な企業侵害への足掛かりになりかねないということです。
このマルウェアはまた、アプリケーション固有のデータベースクエリを使用してWindchillのボールトデータをマッピングします。ファイル名、パス、ストリーム識別子、ファイルサイズを収集し、攻撃者が窃取すべき価値の高いファイルを選別できるようなインベントリを作成します。
このWebシェルは、攻撃者が制御する新しいアカウントでデータベースに接続するのではなく、Windchillが既に持っているJavaクラスとデータベースコンテキストを利用します。
これにより、悪意ある活動が通常のアプリケーショントラフィックに紛れ込み、データベースのみを対象とした検知が一層困難になります。
組み込みのJavaクラスローダーも、もう一つの大きなリスク要因です。この機能はBase64エンコードされたJavaモジュールを受け取り、それを直接メモリにロードして、Windchillアプリケーションのプロセス内で実行します。
この手法により、攻撃者は元のWebシェルを変更したり、追加のペイロードをディスクに書き込んだりすることなく、新たな機能を追加できます。
今後想定される追加の攻撃活動としては、永続化、横方向移動、ネットワーク探索、ランサムウェアの展開、さらなる認証情報の窃取などが考えられます。
報告によれば、このシェルはX-windchill-reqという名前のカスタムHTTPヘッダーを通じてコマンドを受け取り、応答はGZIPで圧縮するとのことです。
TLSトラフィックを検査していなかったり、異常なヘッダーをログに記録していなかったり、Webレスポンスを解凍していなかったりする組織は、この活動を見逃す可能性があるとReliaQuestは述べています。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/cl0ps-windchill-data-theft-webshell/
