Clop entwickelte eine maßgeschneiderte Webshell für Datendiebstahl-Angriffe auf Windchill

Eine speziell entwickelte Java-Webshell, die mit der Ransomware-Gruppe Clop in Verbindung steht, wurde gezielt für den Datendiebstahl von PTC-Windchill- und FlexPLM-Servern entwickelt.

Forscher zufolge kann die Malware Anmeldedaten von Anwendungen entschlüsseln, Dateiablagen durchsuchen und Dateien von kompromittierten Servern abrufen. Ihr Aufbau deutet darauf hin, dass die Betreiber die internen APIs, die Datenbankstruktur und das Speichersystem von Windchill im Detail kannten.

Clops Windchill-Webshell zielt auf anfällige Server

Das Cybersicherheitsunternehmen ReliaQuest analysierte die Webshell, nachdem Angreifer sie Berichten zufolge bei Datendiebstahl-Angriffen auf CVE-2026-12569 eingesetzt hatten.

Die kritische Schwachstelle zur Remote-Codeausführung betrifft PTC Windchill. PTC begann am 17. Juni mit der Veröffentlichung von Sicherheitsupdates, während CISA die Schwachstelle später in seinen Known Exploited Vulnerabilities-Katalog aufnahm.

ReliaQuest geht davon aus, dass Angreifer die Malware auf exponierten Windchill- und FlexPLM-Systemen einsetzten. Die Aktivitäten entsprechen Clops etablierter Vorgehensweise, Unternehmenssoftware massenhaft auszunutzen, Daten zu stehlen und anschließend Zahlungen von den betroffenen Organisationen zu fordern.

Forscher brachten die Kampagne anhand von Erpressungs-E-Mails, Infrastrukturmustern und einem speziell angepassten HTTP-Header mit Clop in Verbindung, der bereits zuvor mit den Windchill-Angriffen der Gruppe in Verbindung gebracht worden war.

Malware nutzt Windchills eigene Funktionen

Das Implantat ist eine JavaServer-Pages-Webshell, kurz JSP-Webshell. Im Gegensatz zu einer allgemeinen Backdoor importiert sie Klassen, die speziell für Windchill verwendet werden, darunter MethodContext, WTConnection und WTKeyStoreUtil.

Diese Komponenten ermöglichen es der Malware, sich über die bestehende Dienstidentität der Anwendung mit der Windchill-Datenbank zu verbinden. Dadurch können verdächtige Aktivitäten so aussehen, als würden sie vom legitimen Windchill-Dienst statt von einem separaten Angreiferkonto stammen.

Die Webshell kann auf Windchills Konfigurationsdaten zugreifen und die eigene Entschlüsselungsfunktion der Plattform nutzen, um gespeicherte LDAP-Manager-Passwörter und andere verschlüsselte Anwendungsgeheimnisse offenzulegen.

Sie kann außerdem Dateiablagen kartieren, indem sie die Windchill-Datenbank nach Dateinamen, Dateipfaden und Dateigrößen durchsucht. Angreifer können anschließend ausgewählte Dateien abrufen, Verzeichnisse untersuchen oder Daten löschen.

Spezieller Header steuert das schädliche Tool

Clops Windchill-Webshell empfängt Befehle über einen speziell angepassten HTTP-Header namens X-windchill-req.

Die Webshell verwendet diesen Header, um Anfragen zu validieren und Aktionen wie das Lesen von Dateien, das Auflisten von Inhalten in Dateiablagen, die Identifizierung des Betriebssystems und das direkte Laden zusätzlichen Java-Codes in den Windchill-Prozess auszuführen.

Die Möglichkeit, Java-Bytecode direkt in den Arbeitsspeicher zu laden, könnte Angreifern erlauben, die Kompromittierung auszuweiten, ohne auf zusätzliche, auf der Festplatte gespeicherte Dateien angewiesen zu sein.

ReliaQuest stellte außerdem fest, dass die Malware Tabellen abfragt, die mit den Anwendungsdaten und der Dateiablage von Windchill verknüpft sind. Dies deutet zusätzlich darauf hin, dass das Tool speziell für diese Plattform entwickelt und nicht aus einer allgemeinen Webshell angepasst wurde.

Organisationen sollten Systeme patchen und untersuchen

Organisationen, die PTC Windchill einsetzen, sollten die verfügbaren Sicherheitsupdates umgehend installieren und prüfen, ob noch Systeme direkt über das Internet erreichbar sind.

Sicherheitsteams sollten ungewöhnliche JSP-Dateien in Windchill-Verzeichnissen untersuchen, insbesondere Dateien, die auf den Header X-windchill-req verweisen. Außerdem sollten sie Webprotokolle auf unerwartete Anfragen überprüfen, die diesen Header enthalten.

Organisationen, die eine Kompromittierung vermuten, sollten ihre Windchill-Anmeldedaten als offengelegt betrachten. Administratoren sollten LDAP-Manager-Passwörter und andere Anwendungsgeheimnisse zurücksetzen und anschließend Datenbank- sowie Dateizugriffe auf Anzeichen für Datendiebstahl überprüfen.