Le ransomware Clop cible les logiciels de gestion du cycle de vie des produits

Une nouvelle vague d'attaques d'extorsion est en cours, et cette fois, le groupe de ransomware Clop (également suivi sous le nom Cl0p) a jeté son dévolu sur les plateformes de gestion du cycle de vie des produits (PLM, Product Lifecycle Management). Les chercheurs en sécurité ont identifié une exploitation active des systèmes PTC Windchill et FlexPLM exposés sur Internet, des logiciels sur lesquels de nombreux fabricants et équipes de conception de produits s'appuient pour gérer les données d'ingénierie, les documents et les flux de travail tout au long du cycle de vie d'un produit.

Les attaquants exploitent la CVE-2026-12569, une vulnérabilité critique d'exécution de code à distance non authentifiée avec un score CVSS compris entre 9,3 et 9,8. La faille provient d'une désérialisation non sécurisée, un motif de code courant mais dangereux qui permet d'interpréter une entrée malveillante comme des commandes exécutables plutôt que comme des données inoffensives. Étant donné que la vulnérabilité ne nécessite aucune authentification, toute instance Windchill ou FlexPLM accessible depuis l'Internet public constitue un point d'entrée potentiel. Des entreprises de sécurité, dont ReliaQuest, ont signalé cette activité comme faisant partie du mode opératoire établi de Clop : voler d'abord les données sensibles, puis utiliser la menace de divulgation publique pour faire pression sur les victimes afin qu'elles paient.

Ce scénario devrait sembler familier. Clop s'est forgé une réputation en ciblant les plateformes de transfert de fichiers et les logiciels d'entreprise plutôt qu'en déployant un ransomware classique de chiffrement de fichiers, préférant plutôt le vol de données et l'extorsion. Les organisations qui utilisent Windchill ou FlexPLM, en particulier celles dont les instances sont accessibles depuis l'extérieur de leur réseau interne, doivent considérer cela comme une priorité urgente de correctifs et de révision de l'exposition.

Des piratages de Wi-Fi d'hôtel dérobent discrètement des identifiants Microsoft 365

Parallèlement à la campagne d'extorsion PLM, les chercheurs suivent également une tendance distincte et inquiétante : des attaquants détournent les réseaux Wi-Fi d'hôtels pour intercepter les identifiants Microsoft 365. Les voyageurs d'affaires se connectant aux réseaux compromis des hôtels peuvent être redirigés silencieusement vers des pages de connexion frauduleuses conçues pour ressembler à de véritables portails Microsoft. Une fois que le voyageur saisit son nom d'utilisateur et son mot de passe, les identifiants sont directement transmis à l'attaquant.

L'infrastructure hôtelière et les services adjacents au voyage sont devenus une cible de plus en plus attrayante pour le vol d'identifiants et l'exposition de données en général. Cela fait écho aux préoccupations soulevées par la faille de l'enregistrement à l'hôtel Reqrea qui a exposé plus d'un million de passeports, où un seau de stockage cloud mal configuré a laissé des documents d'identité sensibles accessibles pendant ce qui pourrait avoir été des années. Qu'il s'agisse d'une passerelle Wi-Fi invité mal sécurisée ou d'un seau cloud non verrouillé, la technologie hôtelière reste un maillon faible de la chaîne de sécurité globale, et ce sont souvent les voyageurs qui se retrouvent exposés.

Pour quiconque se connecte régulièrement à des comptes professionnels en voyage, cela rappelle que les réseaux d'hôtels ne doivent jamais être traités comme une infrastructure de confiance, quelle que soit l'apparence officielle de l'écran de connexion.

Les prises de contrôle de domaine Certighost et la RCE FastJson complètent le paysage des menaces

Pour compléter cet ensemble de menaces actives, les chercheurs ont également signalé des activités de prise de contrôle de domaine liées à Certighost et une exploitation continue liée aux vulnérabilités d'exécution de code à distance FastJson. Les prises de contrôle de domaine peuvent permettre à des attaquants de détourner des propriétés web légitimes ou des sous-domaines, souvent pour héberger des pages d'hameçonnage ou des logiciels malveillants avec une crédibilité empruntée. FastJson, une bibliothèque Java très répandue pour l'analyse de données JSON, a un long historique de vulnérabilités de désérialisation que les attaquants continuent d'exploiter contre les systèmes non corrigés.

Prises ensemble, ces quatre menaces — l'extorsion PLM, le vol d'identifiants Wi-Fi d'hôtel, les prises de contrôle de domaine et les bugs RCE au niveau des bibliothèques — illustrent à quel point la surface d'attaque actuelle est variée. Les attaquants exploitent tout, des failles de désérialisation des logiciels d'entreprise au routeur Wi-Fi d'un hall d'hôtel.

Ce que cela signifie pour vous

La plupart des lecteurs n'utiliseront pas directement PTC Windchill ou FastJson, mais les leçons sous-jacentes s'appliquent largement. Si votre organisation utilise un logiciel de PLM, des outils de gestion de données d'ingénierie ou toute plateforme d'entreprise exposée sur Internet, vérifiez auprès du service informatique si elle est exposée au réseau public et si les correctifs pour les vulnérabilités connues ont été appliqués. Si vous voyagez pour le travail et dépendez de Microsoft 365 ou de services cloud similaires, soyez prudent quant aux réseaux auxquels vous faites confiance et à la manière dont vous vous authentifiez lorsque vous êtes loin de votre réseau domestique ou professionnel.

Le fil conducteur de tous ces incidents est l'exposition : des serveurs exposés, des réseaux exposés, des identifiants exposés. Réduire cette exposition, que ce soit par l'application de correctifs, la segmentation réseau ou des habitudes de connexion plus sûres en voyage, reste la défense la plus fiable contre les attaquants opportunistes.

Points clés à retenir

  • Si votre organisation utilise PTC Windchill ou FlexPLM, donnez la priorité au correctif CVE-2026-12569 et vérifiez que ces systèmes ne sont pas inutilement exposés sur Internet.
  • Évitez de saisir vos identifiants Microsoft 365 ou d'autres identifiants professionnels sur les réseaux Wi-Fi publics ou d'hôtel ; utilisez plutôt un VPN de confiance ou les outils d'accès à distance approuvés par votre organisation.
  • Vérifiez manuellement les URL de connexion plutôt que de cliquer sur des liens, en particulier sur les réseaux inconnus, afin d'éviter d'atterrir sur des pages d'authentification falsifiées.
  • Gardez un œil sur les avis de sécurité liés à FastJson et à la désérialisation non sécurisée si votre organisation utilise des applications basées sur Java.

Cette campagne de ransomware Clop contre les systèmes PLM rappelle que les groupes d'extorsion ciblent tout logiciel contenant des données précieuses, qu'il s'agisse d'un outil de transfert de fichiers ou d'une plateforme de conception de produits. Rester à jour sur les correctifs et limiter l'exposition à Internet restent les moyens les plus efficaces de ne pas attirer leur attention.