Банда вымогателей Cl0p назвала имена более 40 жертв в рамках своей новой масштабной кампании PTC Windchill и FlexPLM, среди которых фигурируют такие крупные компании, как Shell, Philips, Fiserv, Zebra, Mindray и Largan Precision.
Хакеры задействовали CVE-2026-12569, о которой стало известно в июне, когда CISA добавила её в свой каталог KEV, а поставщик предупредил о возможных атаках, направленных на неё.
Уязвимость заключается в некорректной проверке входных данных, которая позволяет удалённому неаутентифицированному злоумышленнику выполнить произвольный код с помощью специально сформированных запросов.
Использование этой уязвимости было ожидаемым, и, по сообщениям, полиция Германии предупреждала организации о готовящихся атаках. Стоит отметить, что CVE-2026-12569 - это первая в истории уязвимость Windchill, которая была использована злоумышленниками на практике.
В конце июля представители ИБ-индустрии сообщили об использовании уязвимости в продукте PLM в атаках программы-вымогателя Cl0p.
Операторы Cl0p использовали ее для создания веб-оболочек, предоставляющих им доступ к данным организаций, использующих Windchill.
В свою очередь, ReliaQuest сообщила во вторник, что Cl0p применяет специально разработанный имплант, обеспечивающий «полную возможность кражи данных» без необходимости использования дополнительных инструментов.
Веб-оболочка сопоставляет конфиденциальные данные хранилища, расшифровывает все учетные данные в хранилище ключей Windchill и включает в себя пользовательский загрузчик классов Java, который позволяет Clop выполнять любой дополнительный код внутри процесса приложения, расширяя возможности оболочки до неограниченного бэкдора для последующих действий, таких как горизонтальное перемещение, программы-вымогатели или обеспечение постоянного присутствия.
Первоначально Cl0p указывала на своем сайте лишь частичные названия компаний, но 12 августа начала публиковать полные имена предполагаемых жертв.
На сегодняшний день указано более 40 организаций, предположительно, ставших мишенью в кампании Windchill. Для каждой жертвы хакеры указывали тип и объем украденной информации.
К похищенным данным относятся базы данных, файлы проектов, резервные копии, фотографии и другие графические файлы, инженерная документация, чертежи, схемы, журналы и другие корпоративные документы. По данным хакеров, объем украденной информации на одну организацию варьируется от 1 ГБ до нескольких терабайт.
Взломанные файлы могут содержать конфиденциальную личную информацию и ценную интеллектуальную собственность, но большая их часть может представлять небольшую ценность и уже находиться в открытом доступе, поэтому многие из организаций, ставших объектом атаки, вероятно, отказались платить выкуп.
В список предполагаемых жертв входят нефтегазовый гигант Shell, технологический гигант Philips, финтех-гигант Fiserv, поставщик решений для корпоративной мобильности Zebra Technologies, производитель промышленного оборудования Ingersoll Rand, разработчик ПО для точек продаж Toast, мировой лидер в области медицинских технологий Mindray и ключевой поставщик объективов для камер Apple, компания Largan Precision.
Компания GE также изначально была указана в списке, но впоследствии была удалена с сайта Cl0p, что может указывать на то, что компания согласилась заплатить выкуп или возобновила переговоры с хакерами.
Такие компании, как Shell, Philips, Fiserv и GE, ранее также заявили, что им известно о поступивших сообщениях и они проводят расследование, но ни одна из них не подтвердила факт значительной утечки данных.
Так что послужной список Cl0p, включающий Oracle E-Business Suite, MOVEit, Cleo и GoAnywhere, теперь пополнился новой позицией. Продолжаем следить.
