El grupo de ransomware Cl0p está explotando vulnerabilidades críticas en PTC Windchill y FlexPLM para ejecutar código remoto y desplegar web shells. Los atacantes roban datos confidenciales de diseño e ingeniería en sectores como el automotriz y aeroespacial para realizar extorsiones. La CISA ya ha incluido esta falla en su catálogo de vulnerabilidades explotadas activamente.





Actores de amenazas vinculados a la campaña de ransomware Cl0p (también conocido como Chubby Scorpius, FIN11, Graceful Spider y Lace Tempest) están explotando fallos en despliegues de PTC Windmill y FlexPLM expuestos a internet como parte de una nueva campaña de extorsión de datos.

"Los atacantes encadenan una divulgación de información previa a la autenticación en el endpoint WSDL de FlexPLM con un fallo del lado del servidor en el servlet de inicio de sesión de Windchill, lo que permite la ejecución remota de código no autenticada y el despliegue de web shells JSP con nombres hexadecimales bajo /Windchill/login/", según un nuevo aviso coordinado publicado por Ransom-ISAC junto con eCrime.ch y DEFUSED.

Al obtener un punto de apoyo inicial, se ha descubierto que los atacantes realizan enumeraciones del sistema de archivos, preparan datos de ingeniería/diseño y, finalmente, llevan a cabo el robo de datos mediante doble extorsión. Los objetivos de la campaña incluyen los sectores de fabricación, automotriz, aeroespacial y comercio minorista.

Se sospecha que los actores de amenazas están explotando la vulnerabilidad CVE-2026-12569 (puntuación CVSS: 9.3), un fallo de seguridad crítico en PTC Windmill que fue añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a finales del mes pasado.

En un aviso, PTC advirtió a sus clientes que había "recibido informes continuos de una mayor actividad de amenazas", añadiendo que atacantes desconocidos están explotando la vulnerabilidad para desplegar web shells JSP contra sistemas susceptibles.

"En las intrusiones observadas, este RCE se encadena con un defecto separado de divulgación de información previa a la autenticación en el endpoint WSDL de FlexPLM (CVSS v3.1 7.5) para permitir la explotación no autenticada", afirmaron los investigadores Brandon Parsons, Corsin Camichel y Simo Kohonen.



Ransom-ISAC ha compartido cuatro direcciones IP como indicadores de compromiso (IoCs), todas las cuales coinciden con las compartidas por PTC:

* 216.152.148.54
* 216.152.151.204
* 104.243.35.63
* 5.180.41.35

Los correos electrónicos de extorsión parecen originarse desde cuentas previamente comprometidas y se envían a cientos de usuarios dentro de una organización afectada, junto con formas de contactar al grupo de ransomware Cl0p.

Enlace a noticia

En una publicación separada en X, ReliaQuest dijo que observó a actores de amenazas explotando activamente la CVE-2026-12569 para facilitar la "ejecución remota de código no autenticada y el despliegue de web shells JSP para la ejecución de comandos remotos y la exfiltración de datos sensibles de productos".

"El actor detrás de estos ataques sigue sin confirmarse. Sin embargo, la técnica observada comparte características con campañas previas de Cl0p dirigidas a aplicaciones empresariales y repositorios de datos de alto valor", añadió ReliaQuest.

La banda Cl0p tiene un historial reconocido de buscar fallos de seguridad en productos empresariales ampliamente utilizados para irrumpir en organizaciones objetivo para el robo de datos y ataques de extorsión. Campañas anteriores montadas por el grupo han weaponizado dispositivos de transferencia de archivos, incluidos los de Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo y MOVEit Transfer, así como una vulnerabilidad en Oracle E-Business Suite.

Fuente:
THN