Cl0p mod Fortune 500: Sådan foregik det massive datatyveri via PTC Windchill

• Shell: Cirka 89 GB data. Cl0p hævder, at dette inkluderer projekttegninger for energianlæg, fotografier af industrielle lokaliteter, scanninger af testrapporter og detaljerede projektplaner .
• Philips: Cirka 13,5 GB data. Det stjålne materiale skulle hovedsageligt bestå af diagrammer, tegninger og andre tekniske tegninger .
• Fiserv og GE: Disse virksomheder var opført på Cl0ps side, men specifikke datamængder eller indhold blev ikke detaljeret i gruppens indledende offentlige udtalelser .

Vigtig bemærkning: Listen over ofre og de hævdede datamængder stammer fra Cl0p selv og er ikke blevet uafhængigt verificeret af sikkerhedsforskere eller de nævnte virksomheder .

Sådan reagerede de store virksomheder

De målrettede virksomheder har reageret med varierende grader af bekræftelse og detaljer, men alle er stadig i en undersøgelses- eller inddæmningsfase. Ingen har uafhængigt bekræftet det fulde omfang af Cl0ps påstande.

• Philips: Den mest definitive reaktion kom fra den hollandske sundhedsteknologigigant. Philips bekræftede, at de “identificerede og inddæmmede et forsøg på cybersikkerhedskompromittering af en specifik virksomhedsserver relateret til interne data.” Virksomheden oplyste, at hændelsen ikke påvirkede kunder .
• Shell: Energigiganten oplyste, at de undersøger en “mulig hændelse” og arbejder sammen med sikkerhedsteams og relevante eksperter for at forstå situationen . Virksomheden har hverken be- eller afkræftet et brud.
• Fiserv og GE: Begge virksomheder blev nævnt af Cl0p, men har pr. de seneste rapporter ikke udsendt detaljerede offentlige udtalelser, der be- eller afkræfter bruddet .

Den formodede angrebsvektor: CVE-2026-12569 (PTC Windchill)

En koordineret erklæring fra Ransom-ISAC, eCrime.ch og DEFUSED kædede denne kampagne sammen med udnyttelsen af CVE-2026-12569, en kritisk sårbarhed i PTC Windchill PDMLink og PTC FlexPLM .

Hvad er CVE-2026-12569? Dette er en kritisk remote code execution (RCE)-fejl forårsaget af deserialisering af upålidelige data . Den har en CVSS-score på 9,8 (Kritisk) og påvirker Windchill- og FlexPLM-versioner før 11.0 M030 . Sårbarheden gør det muligt for en uautentificeret angriber at udføre vilkårlig kode på en internet-eksponeret server, der kører den sårbare software, uden gyldige legitimationsoplysninger . CISA tilføjede denne sårbarhed til sin Known Exploited Vulnerabilities (KEV)-katalog den 25. juni 2026 .

Angrebskæden: Angriberne brugte ikke CVE-2026-12569 isoleret. De kombinerede den med en præ-autentificerings informationsafsløring-fejl i FlexPLM WSDL-slutpunktet . Denne kæde tillod angriberne at:

1. Indsamle systemdetaljer uden at logge ind.
2. Udnytte CVE-2026-12569 til at implementere hex-navngivne JSP-webshells på målrettede servere.
3. Bruge webshells til at udforske filer, forberede ingeniør- og designdata og eksfiltrere dem fra netværket .

Tidslinje for hændelser:

• Tidlig juni 2026: Forskere vurderer, at Cl0p-tilknyttede aktører sandsynligvis udnyttede CVE-2026-12569 som en zero-day, før en patch eksisterede .
• 17. juni 2026: PTC offentliggjorde sårbarheden og udgav en sikkerhedsopdatering .
• 25. juni 2026: CISA tilføjede CVE-2026-12569 til sin Known Exploited Vulnerabilities-katalog .
• 22. juli 2026: ReliaQuest rapporterede offentligt observationer af trusselsaktører, der aktivt udnyttede fejlen .
• 12. august 2026: Cl0p offentliggør navnene på ~50 offer-virksomheder på deres afpresningsside .

Sådan passer dette ind i Cl0ps etablerede afpresningsmodel

Denne kampagne er et lærebogseksempel på Cl0ps operationelle model – dataeksfiltrering uden kryptering. Gruppen implementerede ikke filkrypterende ransomware på de målrettede systemer. I stedet fokuserede de på :

• Ren datatyveri: Målet var at stjæle følsomme ingeniørtegninger, produktdesign og produktionsspecifikationer, ikke at låse filer .
• Naming and Shaming: Cl0p lægger pres ved at offentliggøre ofres navne og datamængder på deres offentlige lækage-side. De truer med at offentliggøre de stjålne data, medmindre der betales, i stedet for at nægte adgang til systemer .
• Masse-, samtidig målretning via en software-leverandørkæde: Cl0p er berygtet for denne “big-game hunting”-tilgang. De udnytter en kritisk sårbarhed i et enkelt enterprise-softwareprodukt – tidligere MOVEit Transfer og GoAnywhere MFT, og nu PTC Windchill – for at kompromittere mange ofre på én gang med ét exploit . Dette giver maksimal afpresningsindflydelse med relativt lave operationelle omkostninger.

Kort sagt: Cl0p bevæbnede en enkelt zero-day-sårbarhed (CVE-2026-12569) for at kompromittere ~50 organisationer globalt, stjal følsomme design- og ingeniørdata og anvendte derefter deres standardafpresningsmanual: offentliggør navne, true med lækager, og kræv betaling.