Clop-Ransomware zielt auf Product-Lifecycle-Management-Software ab

Eine neue Erpressungswelle ist im Gange, und dieses Mal hat es die Ransomware-Gruppe Clop (auch als Cl0p bekannt) auf Product-Lifecycle-Management-Plattformen (PLM) abgesehen. Sicherheitsforscher haben die aktive Ausnutzung von aus dem Internet erreichbaren PTC Windchill- und FlexPLM-Systemen festgestellt – jene Software, auf die viele Hersteller und Produktdesign-Teams angewiesen sind, um Konstruktionsdaten, Dokumente und Arbeitsabläufe über den gesamten Produktlebenszyklus hinweg zu verwalten.

Die Angreifer nutzen CVE-2026-12569 aus, eine kritische Schwachstelle zur nicht authentifizierten Remote-Code-Ausführung mit einem CVSS-Wert im Bereich von 9,3 bis 9,8. Die Ursache liegt in unsicherer Deserialisierung, einem verbreiteten, aber gefährlichen Programmiermuster, das es erlaubt, bösartige Eingaben als ausführbare Befehle statt als harmlose Daten zu interpretieren. Da die Schwachstelle keine Authentifizierung erfordert, ist jede aus dem öffentlichen Internet erreichbare Windchill- oder FlexPLM-Instanz ein potenzieller Einstiegspunkt. Sicherheitsfirmen wie ReliaQuest haben die Aktivität als Teil von Clops etabliertem Playbook gekennzeichnet: zuerst sensible Daten stehlen und dann mit der Drohung der Veröffentlichung Druck auf die Opfer ausüben, um Lösegeld zu erpressen.

Dieses Muster dürfte bekannt vorkommen. Clop hat sich einen Namen gemacht, indem es Dateitransfer- und Unternehmenssoftware-Plattformen ins Visier nimmt, anstatt klassische Dateiverschlüsselungs-Ransomware einzusetzen, und setzt stattdessen auf Datendiebstahl und Erpressung. Organisationen, die Windchill oder FlexPLM betreiben – insbesondere solche mit Instanzen, die außerhalb ihres internen Netzwerks erreichbar sind –, sollten dies als dringende Priorität für Patches und eine Überprüfung der Angriffsfläche betrachten.

Hotel-WLAN-Übernahmen stehlen lautlos Microsoft-365-Anmeldedaten

Parallel zur PLM-Erpressungskampagne verfolgen Forscher einen weiteren besorgniserregenden Trend: Angreifer übernehmen Hotel-WLAN-Netzwerke, um Microsoft-365-Anmeldedaten abzufangen. Geschäftsreisende, die sich mit kompromittierten Gastnetzwerken verbinden, können unbemerkt auf gefälschte Anmeldeseiten umgeleitet werden, die legitimen Microsoft-Anmeldeportalen nachempfunden sind. Sobald ein Reisender Benutzernamen und Passwort eingibt, gehen die Zugangsdaten direkt an den Angreifer.

Hotel- und reisenahe Infrastruktur wird zunehmend zu einem attraktiven Ziel für den Diebstahl von Zugangsdaten und allgemein für die Offenlegung von Daten. Das erinnert an die Bedenken, die durch den Reqrea-Hotel-Check-in-Datenleck, das über eine Million Reisepässe offengelegt hat, aufkamen, bei dem ein falsch konfigurierter Cloud-Speicher-Bucket sensible Ausweisdokumente möglicherweise jahrelang ungeschützt ließ. Ob ein schlecht gesichertes WLAN-Gateway für Gäste oder ein ungesicherter Cloud-Bucket – die Hotellerie-Technologie bleibt eine Schwachstelle in der übergeordneten Sicherheitskette, und die Reisenden sind oft diejenigen, die den Schaden tragen.

Für alle, die unterwegs regelmäßig auf Firmenkonten zugreifen, ist dies eine Mahnung, dass Hotelnetzwerke niemals als vertrauenswürdige Infrastruktur behandelt werden sollten – ganz gleich, wie offiziell die Anmeldeseite aussieht.

Certighost-Domain-Übernahmen und FastJson-RCE runden die Bedrohungslandschaft ab

Zur Abrundung dieses Clusters aktiver Bedrohungen haben Forscher auch Certighost-bezogene Domain-Übernahme-Aktivitäten und die fortgesetzte Ausnutzung von FastJson-Schwachstellen zur Remote-Code-Ausführung gemeldet. Domain-Übernahmen können es Angreifern ermöglichen, legitime Web-Präsenzen oder Subdomains zu kapern, häufig um Phishing-Seiten oder Malware mit geliehener Glaubwürdigkeit zu hosten. FastJson, eine weit verbreitete Java-Bibliothek zum Parsen von JSON-Daten, hat eine lange Geschichte von Deserialisierungsschwachstellen, die Angreifer weiterhin gegen ungepatchte Systeme ausnutzen.

Insgesamt verdeutlichen diese vier Stränge – PLM-Erpressung, Diebstahl von Zugangsdaten über Hotel-WLAN, Domain-Übernahmen und RCE-Bugs auf Bibliotheksebene –, wie vielfältig die aktuelle Angriffsfläche geworden ist. Angreifer nutzen alles aus, von Deserialisierungslücken in Unternehmenssoftware bis hin zum WLAN-Router in der Hotellobby.

Was das für Sie bedeutet

Die meisten Leser werden PTC Windchill oder FastJson nicht direkt betreiben, aber die grundlegenden Lehren sind breit anwendbar. Falls Ihr Unternehmen PLM-Software, Werkzeuge zur Verwaltung von Konstruktionsdaten oder eine aus dem Internet erreichbare Unternehmensplattform einsetzt, klären Sie mit der IT, ob diese im Internet offen zugänglich ist und ob Patches für bekannte Schwachstellen eingespielt wurden. Wenn Sie beruflich reisen und auf Microsoft 365 oder ähnliche Cloud-Dienste angewiesen sind, seien Sie vorsichtig, welchen Netzwerken Sie vertrauen und wie Sie sich außerhalb Ihres Heim- oder Büronetzwerks authentifizieren.

Der gemeinsame Nenner all dieser Vorfälle ist die Offenlegung: offene Server, offene Netzwerke, offene Zugangsdaten. Diese Angriffsfläche zu verringern – sei es durch Patches, Netzwerksegmentierung oder sicherere Verbindungsgewohnheiten auf Reisen – bleibt die zuverlässigste Verteidigung gegen opportunistische Angreifer.

Umsetzbare Erkenntnisse

  • Falls Ihr Unternehmen PTC Windchill oder FlexPLM einsetzt, priorisieren Sie das Patchen von CVE-2026-12569 und stellen Sie sicher, dass diese Systeme nicht unnötig dem Internet ausgesetzt sind.
  • Geben Sie Microsoft-365- oder andere Unternehmensanmeldedaten nicht über Hotel- oder öffentliche WLANs ein; verwenden Sie stattdessen ein vertrauenswürdiges VPN oder die genehmigten Remote-Zugriffstools Ihres Unternehmens.
  • Überprüfen Sie Anmelde-URLs manuell, anstatt auf Links zu klicken, insbesondere in fremden Netzwerken, um nicht auf gefälschten Authentifizierungsseiten zu landen.
  • Behalten Sie Sicherheitshinweise zu FastJson und unsicherer Deserialisierung im Auge, falls Ihr Unternehmen Java-basierte Anwendungen verwendet.

Diese Clop-Ransomware-Kampagne gegen PLM-Systeme ist eine Erinnerung daran, dass Erpressergruppen jede Software ins Visier nehmen, die wertvolle Daten enthält – ob ein Dateitransfer-Tool oder eine Produktdesign-Plattform. Aktuelle Patches und eine Begrenzung der Angriffsfläche über das Internet bleiben die wirksamsten Mittel, um nicht in ihr Raster zu geraten.