Clop脅威グループは、PTC WindchillおよびFlexPLMサーバーからデータを窃取するために、専用に構築されたWebシェルを使用しているとみられます。このマルウェアはWindchillの内部アーキテクチャに合わせて特別に設計されており、Windchill自体が持つ内蔵メカニズムを使ってアプリケーションデータベースに接続し、保存されている認証情報を復号化し、ファイルリポジトリ内のドキュメントを特定して、これらをダウンロードし、Windchillのプロセス内で追加のJavaコードを直接実行します。このツールを発見したReliaQuestは、脅威アクターが重大な脆弱性CVE-2026-12569を通じてサーバーへの初期アクセスを得たとされる攻撃を調査する過程でこれを突き止めました。
CVE-2026-12569：認証不要のリモートコード実行
CVE-2026-12569は、事前の認証なしに、脆弱なバージョンのWindchillおよびFlexPLMでリモートコード実行を可能にします。PTCは6月に該当システム向けのパッチをリリースしており、6月25日には米サイバーセキュリティ・インフラセキュリティ庁（CISA）が、実際の攻撃での悪用が確認された脆弱性を対象とする既知の悪用済み脆弱性（KEV）カタログにこの脆弱性を追加しました。米連邦機関には3日以内にパッチを適用するよう指示が出されています。
攻撃とClopの関連性
7月に入り、インターネットに公開されたWindchillおよびFlexPLMサーバーを狙う攻撃の報告が相次ぎ始めました。攻撃者はCVE-2026-12569を悪用した後、リモートでコマンドを実行しアプリケーションデータにアクセスできるサーバーサイドのJavaページであるJSPベースのWebシェルを展開していました。当初、このキャンペーンとClopとの関連は未確認でしたが、その後いくつもの一致する痕跡が明らかになりました。身代金要求書にはClopのリークサイトに関連する連絡先アドレスが記載されており、ネットワークリクエストには発見されたWebシェルと同じHTTPヘッダーX-windchill-reqが含まれていました。攻撃全体の性質も、広く導入されている単一のエンタープライズ製品を大規模に侵害し、データを窃取した上で被害組織に支払いを迫るという、同グループの確立された手口と一致しています。
Clopの既存パターンを踏襲
Clopはこれまでも、企業が大量の文書を保存・転送するために利用するソフトウェアプラットフォームを繰り返し標的にしてきました。過去のキャンペーンでは、Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U、Cleo、MOVEit Transferの脆弱性を悪用しています。これらの攻撃の多くで、Clopは対象製品に特化した専用のWebシェルを開発してきました。Accellion FTAの侵害後にはDEWMODEを、MOVEit Transferの悪用時にはLEMURLOOTを展開しています。今回の新たなWindchill用ツールも同じパターンを踏襲していますが、開発者はアプリケーションの内部メカニズムを直接利用することで、さらに一歩踏み込んだ作り込みを行っています。
Windchillの内部APIに直接組み込まれた設計
このWebシェルはJavaServer Pagesで書かれており、Windchill自体のMethodContext、WTConnection、WTKeyStoreUtilの各クラスを直接インポートしています。これらを通じて、マルウェアは外部の別ユーティリティに一切頼ることなく、データベース、キーストア、その他のアプリケーションコンポーネントにアクセスします。開発者はWindchillの内部API、データベース構造、暗号化パラメータの保存方式、ファイルリポジトリの構成を明らかに深く研究したはずです。汎用の既製Webシェルには、これほど製品固有の知識は到底盛り込めません。
通常のトラフィックに紛れ込むデータベースアクセス
データベース接続の仕組みには特に注目する価値があります。このマルウェアはMethodContextおよびWTConnectionクラスを利用しているため、そのクエリは攻撃者が作成したアカウントではなく、アプリケーション自体の権限で実行されます。その結果、悪意のある操作がWindchillの通常のサービスアカウントに紐づく形でデータベースログに記録される可能性があります。新規アカウントの作成や未知のホストからの接続を主に監視するセキュリティツールでは、こうした活動の一部を見逃してしまう恐れがあります。
HTTPヘッダーによる独自のコマンドプロトコル
このWebシェルの制御に、攻撃者はHTTPヘッダーX-windchill-reqを通じて配信される独自プロトコルを使用しています。制御シーケンスは8文字で構成され、最初の1文字がコマンドを指定し、残りの7文字は所定の値と一致していなければなりません。追加のパラメータはX-windchill-prmヘッダーを通じて渡されます。この仕組みにより、オペレーターは通常のHTTPリクエストを使ってマルウェアにコマンドを発行できます。
コマンドS：Windchillの機密情報の抽出
Sコマンドは、Windchillから機密情報を抽出します。このWebシェルはieStructProperties.txt設定ファイルを読み取り、アプリケーションのキーストアにアクセスし、Windchill自体のWTKeyStoreUtil.decryptProperty()関数を呼び出します。この呼び出しを通じて、マルウェアはLDAP管理者アカウントのパスワードや、Windchillが通常暗号化した形で保存しているその他の保護された値を復号化します。ReliaQuestの調査によると、結果はすでに平文の状態でオペレーターに返されます。
コマンドL：サーバー上のファイルのマッピング
Lコマンドは、オペレーターがサーバー上に存在するファイルを素早く把握するのに役立ちます。このWebシェルはWindchillのデータベースに問い合わせ、ドキュメント名、ファイルサイズ、物理的な保存パスを取得します。分析の結果、ApplicationData、FVITEM、FVMOUNT、MasteredOnReplicaItemの各テーブルへのクエリが確認されました。得られた一覧はflst.txtという名前のファイルに保存され、オペレーターはその後カタログをダウンロードして、窃取する特定のドキュメントを選ぶことができます。
コマンドDおよびG：ファイルへの直接アクセス
コマンドDとGはファイルへの直接アクセスを提供します。Dは指定したディレクトリの内容を一覧表示し、ファイルの一部を読み取ることができます。一方Gは選択したファイルの全内容を返します。コマンドRは指定したオブジェクトを削除します。これらを組み合わせることで、オペレーターはまずWindchill自体のデータベースを通じてデータの一覧を作成し、その後基盤となるファイルシステムから直接目的のドキュメントを抽出できます。
コマンドJ：最も強力な機能
コマンドJは最も広範な機能を提供します。このWebシェルは、事前にコンパイルされたJavaクラスを含むBase64エンコード済みのZIPアーカイブを受け取り、埋め込まれたバイトコードを直接メモリ上にロードして、Windchillのプロセス内で実行します。この方式により、追加の実行ファイルをディスクに書き込む必要が一切なくなります。オペレーターは、さらなるネットワークアクセスやインフラ内での永続化、その他の目的のためにカスタムJavaモジュールをロードすることで、すでにインストール済みのWebシェルの機能を拡張できます。ReliaQuestはまた、この同じ仕組みが技術的にはデータ暗号化コードの実行にも使われ得ると指摘しています。
コマンドOおよびE：補助機能
もう2つのコマンドは補助的な役割を果たします。Oはサーバーのオペレーティングシステム名を報告します。EはX-windchill-prmを通じて渡されたデータをそのまま返し、Webシェルがリクエストに応答しているかを確認する簡単な手段となります。
恐喝のために作り込まれたプラットフォーム
このツールと汎用のコマンドシェルとの決定的な違いは、Windchillに特化してあらかじめ用意された機能性にあります。インストール後、オペレーターは設定ファイルを手動で探したり、データベース構造を調べたり、ドキュメントの場所を特定したり、機密情報の復号方法を解明したりする必要が一切ありません。このWebシェルはアプリケーション自体の内部メカニズムを通じて必要な情報をすべて取得でき、展開直後から認証情報やファイルの窃取に着手できます。ReリaQuestはこれを、初期のデータ収集に追加のツールを一切必要としない、恐喝攻撃向けに構築された専用プラットフォームだと表現しています。
なぜ重要なのか：Windchillが扱う機密データ
Windchillは製品ライフサイクル管理や、エンジニアリングデータや設計文書を含む開発関連資料の保存に利用されています。そのため、そのファイルリポジトリへのアクセスは攻撃者に貴重な企業機密をもたらしかねず、窃取された認証情報がさらに被害を拡大させます。入手した認証情報が組織内の他のシステムでも使い回されている場合、攻撃者は最初に侵害したサーバーを足がかりに、さらなる横展開を試みる可能性があります。
推奨される対策
ReliaQuestは、CVE-2026-12569に対するPTCのパッチを直ちに適用すること、Windchillのインターフェースへのインターネットアクセスを制限すること、そしてアプリケーションディレクトリ内に見覚えのないJSPファイルがないか監査することを推奨しています。組織は特に、X-windchill-reqを参照するファイルがないかを調べるべきです。サーバーの侵害が確認された、あるいはその疑いがある場合、Webシェルを単に除去するだけでは不十分です。LDAP管理者パスワードをはじめ、Windchillのキーストアに保存されているすべての機密情報は窃取されたものとみなし、直ちにローテーションすべきです。これには、他のサーバーやデータベースで使い回されていた認証情報も含まれます。
翻訳元: https://meterpreter.org/clop-windchill-webshell-cve-2026-12569/
