Geng Ransomware Cl0p Klaim Bobol 50 Perusahaan Dunia; Begini Modus Operandi Mereka

• Shell: Sekitar 89 GB data. Cl0p mengklaim data ini mencakup gambar proyek untuk fasilitas energi, foto lokasi industri, hasil pindaian laporan pengujian, dan rencana proyek terperinci .
• Philips: Sekitar 13,5 GB data. Material yang dicuri disebutkan sebagian besar terdiri dari diagram, cetak biru, dan gambar teknis lainnya .
• Fiserv dan GE: Kedua perusahaan ini tercantum di situs Cl0p, meskipun volume atau konten data spesifik tidak dirinci secara terpisah dalam pernyataan awal kelompok tersebut .

Catatan Penting: Daftar korban dan volume data yang diklaim berasal dari Cl0p itu sendiri dan belum diverifikasi secara independen oleh peneliti keamanan atau perusahaan yang disebutkan .

Bagaimana Respons Perusahaan-Perusahaan Besar?

Perusahaan yang menjadi target memberikan tanggapan dengan tingkat konfirmasi dan detail yang berbeda-beda, namun semuanya masih dalam tahap penyelidikan atau penahanan. Tak satu pun yang secara independen mengonfirmasi seluruh klaim Cl0p.

• Philips: Tanggapan paling definitif datang dari raksasa teknologi kesehatan asal Belanda ini. Philips mengonfirmasi bahwa mereka "mengidentifikasi dan menahan percobaan kompromi keamanan siber pada server perusahaan tertentu yang terkait dengan data internal." Perusahaan menyatakan bahwa insiden tersebut tidak berdampak pada pelanggan .
• Shell: Raksasa energi ini menyatakan sedang menyelidiki 'insiden yang mungkin terjadi' dan bekerja sama dengan tim keamanan serta pakar terkait untuk memahami situasi . Perusahaan belum mengonfirmasi atau menyangkal adanya pelanggaran.
• Fiserv dan GE: Kedua perusahaan disebut oleh Cl0p, namun hingga laporan terbaru, mereka belum mengeluarkan pernyataan publik terperinci yang mengonfirmasi atau menyangkal pelanggaran tersebut .

Vektor Serangan yang Diduga: CVE-2026-12569 (PTC Windchill)

Sebuah advisori terkoordinasi dari Ransom-ISAC, eCrime.ch, dan DEFUSED mengaitkan kampanye ini dengan eksploitasi CVE-2026-12569, sebuah celah kritis pada PTC Windchill PDMLink dan PTC FlexPLM .

Apa itu CVE-2026-12569? Ini adalah celah remote code execution (RCE) kritis yang disebabkan oleh deserialisasi data yang tidak tepercaya . Celah ini memiliki skor CVSS 9.8 (Kritis) dan memengaruhi rilis Windchill dan FlexPLM sebelum versi 11.0 M030 . Kerentanan ini memungkinkan penyerang yang tidak terautentikasi untuk mengeksekusi kode arbitrer pada server yang terpapar internet dan menjalankan software rentan tanpa kredensial yang valid . CISA menambahkan kerentanan ini ke dalam katalog Known Exploited Vulnerabilities (KEV) pada 25 Juni 2026 .

Rantai Eksploitasi: Penyerang tidak menggunakan CVE-2026-12569 secara terpisah. Mereka menggabungkannya dengan celah pengungkapan informasi pra-autentikasi di endpoint FlexPLM WSDL . Rantai ini memungkinkan penyerang untuk:

1. Mengumpulkan detail sistem tanpa login.
2. Mengeksploitasi CVE-2026-12569 untuk menyebarkan JSP webshell bernama heksadesimal di server yang ditargetkan.
3. Menggunakan webshell untuk mendata file, menyiapkan data teknik dan desain, lalu mengeksfiltrasinya dari jaringan .

Kronologi Peristiwa:

• Awal Juni 2026: Peneliti menilai bahwa aktor yang terkait dengan Cl0p kemungkinan mengeksploitasi CVE-2026-12569 sebagai zero-day, sebelum ada patch .
• 17 Juni 2026: PTC mengungkapkan celah tersebut secara publik dan merilis patch keamanan .
• 25 Juni 2026: CISA menambahkan CVE-2026-12569 ke dalam katalog Known Exploited Vulnerabilities .
• 22 Juli 2026: ReliaQuest melaporkan secara publik pengamatan aktor ancaman yang secara aktif mengeksploitasi celah tersebut .
• 12 Agustus 2026: Cl0p memposting nama-nama hampir 50 perusahaan korban di situs pemerasan mereka .

Bagaimana Ini Sesuai dengan Model Pemerasan Cl0p yang Sudah Mapan?

Kampanye ini adalah contoh sempurna dari model operasi Cl0p—eksfiltrasi data tanpa enkripsi. Kelompok ini tidak menyebarkan ransomware yang mengenkripsi file pada sistem yang ditargetkan. Sebaliknya, mereka fokus pada :

• Pencurian Data Murni: Tujuannya adalah mencuri cetak biru teknik yang sensitif, desain produk, dan spesifikasi manufaktur, bukan mengunci file .
• Mencatut Nama (Naming and Shaming): Cl0p memberikan tekanan dengan mencantumkan nama korban dan volume data di situs kebocoran publik mereka. Mereka mengancam akan mempublikasikan data yang dicuri kecuali dibayar, daripada menolak akses ke sistem .
• Penargetan Massal dan Simultan melalui Rantai Pasok Software: Cl0p terkenal dengan pendekatan "big-game hunting" ini. Mereka mengeksploitasi celah kritis pada satu produk software perusahaan—sebelumnya MOVEit Transfer dan GoAnywhere MFT, dan sekarang PTC Windchill—untuk membahayakan banyak korban sekaligus hanya dengan satu eksploitasi . Ini memungkinkan mereka mendapatkan keuntungan pemerasan maksimal dengan biaya operasional yang relatif rendah.

Singkatnya, Cl0p mempersenjatai satu celah zero-day (CVE-2026-12569) untuk membobol ~50 organisasi secara global, mencuri data desain dan teknik yang sensitif, lalu menerapkan buku pedoman pemerasan standar mereka: publikasikan nama, ancam akan membocorkan data, dan minta pembayaran.