Clop Ransomware Windchill FlexPLM-kampagne dukker op

Clop ransomware-gruppen, også kendt under navnet Cl0p, har lanceret en ny afpresningskampagne med datatyveri rettet mod interneteksponerede instanser af PTC Windchill og FlexPLM. Det er enterprise-softwareplatforme, der bruges af producenter og produktorienterede virksomheder til at administrere produktlivscyklusdata, designfiler og tekniske optegnelser. I stedet for at anvende traditionel filkrypterende ransomware, fokuserer Clops operatører på at stjæle data fra disse systemer og derefter bruge de stjålne oplysninger som pressionsmiddel til at afpresse ofre til at betale en løsesum.

Denne tilgang, ofte kaldet afpresning uden kryptering eller datatyveri-ransomware, er blevet Clops signaturmanøvre gennem de seneste år. I stedet for at låse systemer med kryptering, eksfiltrerer gruppen lydløst følsomme filer og truer derefter med at offentliggøre eller sælge dem, medmindre der betales. For organisationer, der kører Windchill eller FlexPLM med eksponering mod det offentlige internet, udgør denne kampagne en direkte og umiddelbar risiko for proprietære produktdata, intellektuel ejendom og potentielt kunde- eller partneroplysninger, der er gemt på disse platforme.

Hvorfor PTC Windchill og FlexPLM er attraktive mål

PTC Windchill og FlexPLM er bredt anvendte værktøjer til produktlivscyklusstyring (PLM), almindelige inden for fremstilling, industrielt design, luftfart, bilindustri og forbrugsvarer. Disse platforme indeholder typisk en virksomheds mest følsomme intellektuelle ejendom: designspecifikationer, tekniske tegninger, styklistedata og produktplaner. Det gør dem til et højværdimål for en gruppe som Clop, der konsekvent har fokuseret sin indsats på forretningssoftware, der opbevarer store mængder fortrolige virksomhedsdata snarere end personlige forbrugeroplysninger.

Interneteksponerede instanser, det vil sige systemer, der kan tilgås uden for en virksomheds interne netværk uden ordentlige begrænsninger, er særligt sårbare. Når enterprise-software som dette kan nås fra det åbne internet, udvider det dramatisk angrebsfladen for trusselsaktører, der scanner efter udnyttelige systemer. Clop har opbygget sit ry på at finde og udnytte denne type eksponeringer i stor skala og kompromitterer ofte dusinvis eller hundredvis af organisationer i en enkelt koordineret bølge, før krav bliver offentliggjort.

Clops etablerede mønster for masseudnyttelse

Dette er ikke nyt territorium for Clop. Gruppen har en veldokumenteret historie med at identificere enterprise-software med internetvendte komponenter og bruge dem som indgang til masse-datatyverikampagner. Et nyligt eksempel er gruppens udnyttelse af en kritisk sårbarhed i Oracle E-Business Suite, som førte til Estée Lauder-datalækket, efter at angribere fik adgang til medarbejderoplysninger gennem det kompromitterede system. Den hændelse fulgte den samme drejebog, som nu anvendes mod Windchill og FlexPLM: find bredt anvendt enterprise-software, udnyt eksponerede instanser, træk data ud, og læg derefter pres på ofrene med afpresningskrav i stedet for kryptering.

Konsistensen af denne strategi er vigtig for forsvarere. Clop angriber sjældent en enkelt organisation isoleret. I stedet har gruppen en tendens til at identificere en specifik softwareplatform, udnytte den bredt på tværs af hver eneste eksponerede instans, den kan finde, og derefter arbejde sig igennem listen over ofre over uger eller måneder. Organisationer, der kører Windchill eller FlexPLM, bør betragte denne kampagne som en aktiv, igangværende trussel snarere end en isoleret hændelse knyttet til en enkelt virksomhed.

Hvad det betyder for dig

Hvis din organisation bruger PTC Windchill eller FlexPLM, især med en komponent, der kan nås fra det offentlige internet, bør denne kampagne føre til en øjeblikkelig gennemgang af din eksponering. IT- og sikkerhedsteams bør bekræfte, om disse systemer er tilgængelige eksternt, anvende alle tilgængelige leverandørrettelser eller sikkerhedsopdateringer og begrænse adgangen, hvor det er muligt, ved hjælp af firewalls, VPN'er eller netværkssegmentering, så platformene ikke er direkte tilgængelige fra det åbne internet.

Selv organisationer, der ikke bruger disse specifikke platforme, bør være opmærksomme på det bredere mønster. Clops strategi med at målrette bredt anvendt enterprise-software, som tidligere set med Estée Lauder-datalækket relateret til Oracle EBS, viser en konsekvent præference for højværdi-forretningssystemer frem for individuelle forbrugermål. Enhver virksomhed, der kører internetvendt enterprise-software, hvad enten det er til produkthåndtering, ressourceplanlægning eller filoverførsel, bør antage, at den kan blive det næste mål i en lignende bølge.

Handlingsrettede anbefalinger

Organisationer, der kører PTC Windchill eller FlexPLM, bør straks tage følgende skridt:

  • Gennemgå, om Windchill- eller FlexPLM-instanser er eksponeret mod det offentlige internet, og begræns adgangen øjeblikkeligt, hvis de er.
  • Anvend de seneste sikkerhedsrettelser og opdateringer fra PTC, så snart de bliver tilgængelige.
  • Overvåg systemlogfiler for usædvanlige adgangsmønstre eller uautoriserede dataoverførsler.
  • Gennemgå beredskabsplaner specifikt for datatyveri-afpresningsscenarier, som adskiller sig fra traditionelle ransomware-krypteringshændelser.
  • Hold dig orienteret om Clops aktiviteter, da gruppen har en historik med at udvide kampagner mod en enkelt softwareplatform over tid.

Clop ransomware Windchill FlexPLM-kampagnen er en påmindelse om, at datatyveri-afpresning stadig er en af de mest vedholdende trusler mod enterprise-softwarebrugere. At være på forkant betyder at reducere interneteksponering nu og ikke vente, til en sikkerhedsbrudsmeddelelse ankommer.