Хакери Cl0p заявляють про крадіжку даних у Shell, Philips та ще десятків компаній: що відомо про атаку через PTC Windchill

• Shell: Приблизно 89 ГБ даних. Cl0p стверджує, що це проєктні креслення енергетичних об'єктів, фотографії промислових майданчиків, скани звітів про випробування та детальні проєктні плани .
• Philips: Приблизно 13,5 ГБ даних. Викрадений матеріал, за словами хакерів, складається переважно з діаграм, креслень та інших технічних схем .
• Fiserv і GE: Ці компанії також були згадані на сайті Cl0p, проте конкретні обсяги або вміст даних у початкових заявах угруповання не деталізувалися .

Важливе застереження: Список жертв і заявлені обсяги даних походять безпосередньо від самого Cl0p і не були незалежно підтверджені ані дослідниками з кібербезпеки, ані названими компаніями .

Як відреагували великі компанії

Постраждалі компанії відреагували з різним ступенем підтвердження та деталізації, але всі вони перебувають на стадії розслідування або локалізації інциденту. Жодна з них незалежно не підтвердила повний обсяг заяв Cl0p.

• Philips: Найбільш визначена реакція надійшла від нідерландського гіганта медичних технологій. Philips підтвердила, що «виявила та локалізувала спробу кіберкомпрометації окремого корпоративного сервера, пов'язаного з внутрішніми даними». Компанія заявила, що інцидент не вплинув на клієнтів .
• Shell: Нафтогазовий гігант заявив, що розслідує «можливий інцидент» і співпрацює з групами безпеки та відповідними експертами для з'ясування ситуації . Компанія ні підтвердила, ні спростувала факт злому.
• Fiserv і GE: Обидві компанії були названі Cl0p, але станом на останні звіти вони не оприлюднили детальних заяв, які б підтверджували або спростовували витік даних .

Імовірний вектор атаки: CVE-2026-12569 (PTC Windchill)

Скоординоване попередження від Ransom-ISAC, eCrime.ch та DEFUSED пов'язало цю кампанію з експлуатацією CVE-2026-12569 — критичної вразливості в PTC Windchill PDMLink і PTC FlexPLM .

Що таке CVE-2026-12569? Це критична помилка віддаленого виконання коду (RCE), спричинена десеріалізацією ненадійних даних . Вона має оцінку CVSS 9,8 (критична) і впливає на версії Windchill та FlexPLM, випущені до 11.0 M030 . Вразливість дозволяє неавтентифікованому зловмиснику виконувати довільний код на сервері, підключеному до інтернету, без жодних дійсних облікових даних . CISA додала цю вразливість до свого каталогу відомих експлуатованих вразливостей (KEV) 25 червня 2026 року .

Ланцюжок експлуатації: Атакувальники не використовували CVE-2026-12569 ізольовано. Вони поєднали її з вразливістю розкриття інформації до автентифікації в кінцевій точці FlexPLM WSDL . Цей ланцюжок дозволив зловмисникам:

1. Збирати деталі системи без входу в систему.
2. Експлуатувати CVE-2026-12569 для розгортання JSP-веб-шеллів з шістнадцятковими назвами на цільових серверах.
3. Використовувати веб-шелли для переліку файлів, підготовки інженерних та проєктних даних до крадіжки та їхнього вилучення з мережі .

Хронологія подій:

• Початок червня 2026 року: Дослідники вважають, що пов'язані з Cl0p суб'єкти, найімовірніше, експлуатували CVE-2026-12569 як вразливість нульового дня, ще до виходу виправлення .
• 17 червня 2026 року: PTC публічно розкрила інформацію про вразливість і випустила патч безпеки .
• 25 червня 2026 року: CISA додала CVE-2026-12569 до свого каталогу відомих експлуатованих вразливостей .
• 22 липня 2026 року: ReliaQuest публічно повідомила про спостереження активного використання цієї вразливості зловмисниками .
• 12 серпня 2026 року: Cl0p публікує назви майже 50 компаній-жертв на своєму сайті вимагання .

Як це вписується в усталену модель вимагання Cl0p

Ця кампанія є класичним прикладом операційної моделі Cl0p — викрадення даних без шифрування. Угруповання не використовувало програми-вимагачі для шифрування файлів на цільових системах. Натомість вони зосередилися на :

• Чиста крадіжка даних: Метою було викрадення конфіденційних інженерних креслень, дизайнів продуктів та виробничих специфікацій, а не блокування файлів .
• Публічне ганьблення: Cl0p тисне на жертв, публікуючи назви компаній та обсяги викрадених даних на своєму публічному сайті витоків. Вони погрожують опублікувати дані, якщо не отримають викуп, замість того, щоб блокувати доступ до систем .
• Масова одночасна атака через ланцюжок постачання програмного забезпечення: Cl0p сумно відомий своїм підходом «полювання на велику дичину». Вони експлуатують критичну вразливість у єдиному корпоративному програмному продукті — раніше це були MOVEit Transfer та GoAnywhere MFT, а тепер PTC Windchill — щоб скомпрометувати багатьох жертв одночасно за допомогою одного експлойта . Це дозволяє отримати максимальний важелі для вимагання з відносно низькими операційними витратами.

Коротко кажучи, Cl0p використала єдину вразливість нульового дня (CVE-2026-12569) для компрометації приблизно 50 організацій по всьому світу, викрала конфіденційні конструкторські та інженерні дані, а потім застосувала свій стандартний сценарій вимагання: опублікувати назви, погрожувати витоками та вимагати викуп.