Ransomware Clop Mengincar Perangkat Lunak Manajemen Siklus Hidup Produk

Gelombang baru serangan pemerasan sedang berlangsung, dan kali ini kelompok ransomware Clop (juga dilacak sebagai Cl0p) mengincar platform manajemen siklus hidup produk (PLM). Peneliti keamanan telah mengidentifikasi eksploitasi aktif terhadap sistem PTC Windchill dan FlexPLM yang terpapar internet, perangkat lunak yang diandalkan oleh banyak produsen dan tim desain produk untuk mengelola data teknik, dokumen, dan alur kerja di seluruh siklus hidup suatu produk.

Para penyerang memanfaatkan CVE-2026-12569, kerentanan remote code execution tanpa autentikasi kritis dengan skor CVSS di kisaran 9,3 hingga 9,8. Cacat ini berasal dari deserialisasi tidak aman, pola pengodean yang umum tetapi berbahaya yang memungkinkan input berbahaya ditafsirkan sebagai perintah yang dapat dieksekusi, bukan data tidak berbahaya. Karena kerentanan ini tidak memerlukan autentikasi, setiap instans Windchill atau FlexPLM yang terpapar dan dapat dijangkau dari internet publik merupakan titik masuk potensial. Perusahaan keamanan termasuk ReliaQuest telah menandai aktivitas ini sebagai bagian dari buku pedoman Clop yang sudah mapan: mencuri data sensitif terlebih dahulu, lalu menggunakan ancaman pengungkapan publik untuk menekan korban agar membayar.

Pola ini seharusnya terasa familier. Clop membangun reputasinya dengan menyerang platform transfer file dan perangkat lunak perusahaan alih-alih menyebarkan ransomware enkripsi file tradisional, lebih memilih pencurian data dan pemerasan. Organisasi yang menjalankan Windchill atau FlexPLM, terutama yang instansinya dapat diakses dari luar jaringan internal mereka, harus memperlakukan ini sebagai prioritas mendesak untuk penambalan dan peninjauan paparan.

Pembajakan Wi-Fi Hotel Diam-diam Mencuri Kredensial Microsoft 365

Bersamaan dengan kampanye pemerasan PLM, peneliti juga melacak tren terpisah yang mengkhawatirkan: penyerang membajak jaringan Wi-Fi hotel untuk mencegat kredensial Microsoft 365. Pelancong bisnis yang terhubung ke jaringan tamu hotel yang disusupi dapat secara diam-diam dialihkan ke halaman login palsu yang dirancang agar terlihat seperti portal masuk Microsoft yang sah. Begitu pelancong memasukkan nama pengguna dan kata sandi mereka, kredensial langsung jatuh ke tangan penyerang.

Infrastruktur hotel dan yang terkait dengan perjalanan telah menjadi target yang semakin menarik untuk pencurian kredensial dan paparan data secara lebih luas. Hal ini menggemakan kekhawatiran yang diangkat oleh pelanggaran check-in hotel Reqrea yang mengekspos lebih dari satu juta paspor, di mana bucket penyimpanan cloud yang salah konfigurasi meninggalkan dokumen identitas sensitif yang dapat diakses selama mungkin bertahun-tahun. Baik itu gateway Wi-Fi tamu yang keamanannya buruk atau bucket cloud yang tidak terkunci, teknologi perhotelan terus menjadi titik lemah dalam rantai keamanan yang lebih luas, dan para pelancong sering kali menjadi pihak yang terekspos.

Bagi siapa pun yang secara rutin masuk ke akun perusahaan saat bepergian, ini adalah pengingat bahwa jaringan hotel tidak boleh diperlakukan sebagai infrastruktur tepercaya, tidak peduli seberapa resmi tampilan layar loginnya.

Pengambilalihan Domain Certighost dan RCE FastJson Melengkapi Lanskap Ancaman

Melengkapi kelompok ancaman aktif ini, peneliti juga telah menandai aktivitas pengambilalihan domain terkait Certighost dan eksploitasi berkelanjutan yang terkait dengan kerentanan remote code execution FastJson. Pengambilalihan domain memungkinkan penyerang membajak properti web atau subdomain yang sah, sering kali untuk menghosting halaman phishing atau malware dengan kedok kredibilitas pinjaman. FastJson, pustaka Java yang banyak digunakan untuk mengurai data JSON, memiliki riwayat panjang kerentanan deserialisasi yang terus disenjatai oleh penyerang terhadap sistem yang tidak ditambal.

Secara keseluruhan, keempat rangkaian ini, pemerasan PLM, pencurian kredensial Wi-Fi hotel, pengambilalihan domain, dan bug RCE tingkat pustaka, menggambarkan betapa beragamnya permukaan serangan saat ini. Penyerang mengeksploitasi segala sesuatu mulai dari cacat deserialisasi perangkat lunak perusahaan hingga router Wi-Fi di lobi hotel.

Apa Artinya Bagi Anda

Sebagian besar pembaca mungkin tidak menjalankan PTC Windchill atau FastJson secara langsung, tetapi pelajaran mendasarnya berlaku secara luas. Jika organisasi Anda menggunakan perangkat lunak PLM, alat manajemen data teknik, atau platform perusahaan yang menghadap internet apa pun, konfirmasikan dengan TI apakah itu terpapar ke internet publik dan apakah tambalan untuk kerentanan yang diketahui telah diterapkan. Jika Anda bepergian untuk bekerja dan mengandalkan Microsoft 365 atau layanan cloud serupa, berhati-hatilah terhadap jaringan mana yang Anda percayai dan bagaimana Anda mengautentikasi saat jauh dari jaringan rumah atau kantor Anda.

Benang merah di semua insiden ini adalah paparan: server yang terpapar, jaringan yang terpapar, kredensial yang terpapar. Mengurangi paparan itu, baik melalui penambalan, segmentasi jaringan, atau kebiasaan koneksi yang lebih aman saat bepergian, tetap menjadi pertahanan paling andal terhadap penyerang oportunis.

Hal yang Dapat Ditindaklanjuti

  • Jika organisasi Anda menjalankan PTC Windchill atau FlexPLM, prioritaskan penambalan CVE-2026-12569 dan verifikasi bahwa sistem ini tidak terpapar internet secara tidak perlu.
  • Hindari memasukkan kredensial Microsoft 365 atau perusahaan lainnya melalui Wi-Fi hotel atau publik; gunakan VPN tepercaya atau alat akses jarak jauh yang disetujui organisasi Anda.
  • Periksa ulang URL login secara manual alih-alih mengklik tautan, terutama di jaringan yang tidak dikenal, untuk menghindari mendarat di halaman autentikasi palsu.
  • Pantau saran keamanan terkait FastJson dan deserialisasi tidak aman jika organisasi Anda menggunakan aplikasi berbasis Java.

Kampanye ransomware Clop terhadap sistem PLM ini adalah pengingat bahwa kelompok pemeras akan menargetkan perangkat lunak apa pun yang menyimpan data berharga, baik itu alat transfer file maupun platform desain produk. Tetap terkini pada tambalan dan membatasi paparan internet tetap menjadi cara paling efektif untuk menjauh dari radar mereka.