- Actorii amenințării asociați cu ransomware-ul Cl0p vizează instalațiile expuse public ale PTC Windchill și FlexPLM, folosind o combinație de defecte pentru a fura date.
O nouă campanie de extorcare a datelor, condusă de afiliați ai grupului de ransomware Cl0p (cunoscut și ca Chubby Scorpius, FIN11, Graceful Spider sau Lace Tempest), vizează aplicațiile PTC Windchill și FlexPLM expuse pe internet. Atacatorii exploatează o vulnerabilitate de tip Remote Code Execution (RCE) neautentificată, permițându-le să preia controlul asupra sistemelor și să fure date sensibile.
Cum funcționează atacul
Cercetătorii de securitate au descoperit că infractorii cibernetici combină două defecte. Mai întâi, o vulnerabilitate de divulgare a informațiilor anterioară autentificării în endpoint-ul WSDL al FlexPLM dezvăluie detalii esențiale. Apoi, aceste informații sunt folosite pentru a exploata o eroare în servlet-ul de autentificare Windchill, permițând executarea de comenzi de la distanță fără a fi nevoie de credentiale. Astfel, atacatorii pot instala backdoor-uri, exfiltra date și cere răscumpărare.
Ținte și impact
Grupul Cl0p este cunoscut pentru atacuri asupra organizațiilor din multiple industrii, iar de această dată vizează sistemele PTC utilizate pentru gestionarea ciclului de viață al produselor (PLM) și managementul configurațiilor. Expunerea directă pe internet a acestor aplicații le face ținte ușoare. Consecințele includ furtul de proprietate intelectuală, date de design sau informații financiare, urmate de amenințări de publicare dacă nu se plătește răscumpărarea.
Măsuri de protecție recomandate
Pentru a se apăra, organizațiile ar trebui să actualizeze imediat PTC Windchill și FlexPLM la cele mai recente versiuni, să limiteze accesul la aceste aplicații doar prin VPN sau soluții de acces securizat și să implementeze sisteme de detectare a intruziunilor. De asemenea, este crucial să se monitorizeze logurile pentru activități suspecte și să se aplice principiul privilegiului minim.
Ce înseamnă pentru tine
Dacă folosești PTC Windchill sau FlexPLM în organizația ta, verifică imediat dacă sunt expuse public și aplică patch-urile de securitate. Asigură-te că backup-urile sunt sigure și testate, iar planul de răspuns la incidente este actualizat. Nu subestima riscul unui atac de tip ransomware – prevenția este cea mai eficientă apărare.