Il ransomware Clop prende di mira i software per la gestione del ciclo di vita del prodotto

Una nuova ondata di attacchi estorsivi è in corso e, questa volta, il gruppo ransomware Clop (tracciato anche come Cl0p) ha preso di mira le piattaforme di product lifecycle management (PLM). I ricercatori di sicurezza hanno individuato lo sfruttamento attivo di sistemi PTC Windchill e FlexPLM esposti su Internet, i software su cui molti produttori e team di progettazione fanno affidamento per gestire dati tecnici, documenti e flussi di lavoro durante l'intero ciclo di vita del prodotto.

Gli aggressori stanno sfruttando CVE-2026-12569, una vulnerabilità critica di esecuzione di codice remoto senza autenticazione con un punteggio CVSS compreso tra 9.3 e 9.8. La falla è dovuta a una deserializzazione non sicura, un pattern di programmazione comune ma pericoloso che consente di interpretare input malevoli come comandi eseguibili invece che come dati innocui. Poiché la vulnerabilità non richiede autenticazione, qualsiasi istanza Windchill o FlexPLM esposta e raggiungibile da Internet pubblica rappresenta un potenziale punto di ingresso. Diverse società di sicurezza, tra cui ReliaQuest, hanno segnalato l'attività come parte del collaudato modus operandi di Clop: rubare prima i dati sensibili, poi usare la minaccia della divulgazione pubblica per spingere le vittime a pagare.

Questo schema dovrebbe suonare familiare. Clop si è costruito una reputazione colpendo piattaforme di trasferimento file e software aziendali, piuttosto che diffondere il tradizionale ransomware che cifra i file, preferendo invece il furto di dati e l'estorsione. Le organizzazioni che utilizzano Windchill o FlexPLM, in particolare quelle con istanze accessibili dall'esterno della rete interna, dovrebbero considerare questa situazione una priorità urgente per l'applicazione delle patch e la verifica dell'esposizione.

Il dirottamento del Wi-Fi degli hotel sta rubando silenziosamente le credenziali di Microsoft 365

Parallelamente alla campagna di estorsione PLM, i ricercatori stanno monitorando anche una tendenza separata e preoccupante: gli aggressori che dirottano le reti Wi-Fi degli hotel per intercettare credenziali di Microsoft 365. I viaggiatori d'affari che si collegano a reti ospiti compromesse degli hotel possono essere reindirizzati silenziosamente verso pagine di login fraudolente, progettate per assomigliare ai portali di accesso legittimi di Microsoft. Una volta che il viaggiatore inserisce nome utente e password, le credenziali finiscono direttamente all'aggressore.

L'infrastruttura alberghiera e quella connessa ai viaggi sono diventate un bersaglio sempre più interessante per il furto di credenziali e, più in generale, per l'esposizione dei dati. È un'eco delle preoccupazioni sollevate dalla violazione del check-in dell'hotel Reqrea che ha esposto oltre un milione di passaporti, dove un bucket di archiviazione cloud mal configurato ha lasciato accessibili documenti d'identità sensibili per quello che potrebbero essere stati anni. Che si tratti di un gateway Wi-Fi per gli ospiti mal protetto o di un bucket cloud aperto, la tecnologia nel settore dell'ospitalità continua a rappresentare un punto debole nella catena della sicurezza, e spesso sono i viaggiatori a rimanere esposti.

Per chiunque acceda regolarmente ad account aziendali in viaggio, questo è un promemoria che le reti degli hotel non dovrebbero mai essere considerate un'infrastruttura affidabile, indipendentemente da quanto ufficiale possa sembrare la schermata di accesso.

Acquisizioni di dominio Certighost e RCE su FastJson completano il panorama delle minacce

A completare questo insieme di minacce attive, i ricercatori hanno anche segnalato attività di acquisizione di domini legate a Certighost e lo sfruttamento in corso di vulnerabilità di esecuzione di codice remoto su FastJson. Le acquisizioni di domini possono consentire agli aggressori di impadronirsi di proprietà web o sottodomini legittimi, spesso per ospitare pagine di phishing o malware con un'apparenza di credibilità presa in prestito. FastJson, una libreria Java ampiamente utilizzata per l'analisi di dati JSON, ha una lunga storia di vulnerabilità di deserializzazione che gli aggressori continuano a trasformare in armi contro i sistemi non aggiornati.

Nel loro insieme, questi quattro filoni – l'estorsione PLM, il furto di credenziali via Wi-Fi negli hotel, le acquisizioni di domini e i bug RCE a livello di libreria – illustrano quanto sia diventata variegata l'attuale superficie d'attacco. Gli aggressori stanno sfruttando di tutto, dai difetti di deserializzazione nei software aziendali al router Wi-Fi nella hall di un hotel.

Cosa significa per te

La maggior parte dei lettori non utilizzerà direttamente PTC Windchill o FastJson, ma le lezioni di fondo si applicano in modo ampio. Se la tua organizzazione usa software PLM, strumenti di gestione dei dati tecnici o qualsiasi piattaforma aziendale esposta su Internet, verifica con l'IT se è accessibile da Internet pubblico e se sono state applicate le patch per le vulnerabilità note. Se viaggi per lavoro e ti affidi a Microsoft 365 o a servizi cloud simili, fai attenzione a quali reti consideri affidabili e a come ti autentichi quando sei lontano dalla rete di casa o dell'ufficio.

Il filo conduttore di tutti questi incidenti è l'esposizione: server esposti, reti esposte, credenziali esposte. Ridurre tale esposizione, sia tramite l'applicazione delle patch, la segmentazione della rete o abitudini di connessione più sicure durante i viaggi, rimane la difesa più affidabile contro gli aggressori opportunisti.

Consigli pratici

  • Se la tua organizzazione utilizza PTC Windchill o FlexPLM, dai priorità all'applicazione della patch per CVE-2026-12569 e verifica che questi sistemi non siano inutilmente esposti a Internet.
  • Evita di inserire le credenziali di Microsoft 365 o altre credenziali aziendali su reti Wi-Fi di hotel o pubbliche; utilizza piuttosto una VPN affidabile o gli strumenti di accesso remoto approvati dalla tua organizzazione.
  • Controlla manualmente gli URL di accesso invece di fare clic sui link, soprattutto su reti non familiari, per evitare di finire su pagine di autenticazione contraffatte.
  • Tieni d'occhio gli avvisi di sicurezza relativi a FastJson e alla deserializzazione non sicura se la tua organizzazione utilizza applicazioni basate su Java.

Questa campagna del ransomware Clop contro i sistemi PLM ci ricorda che i gruppi che praticano l'estorsione prenderanno di mira qualsiasi software che contenga dati preziosi, che si tratti di uno strumento di trasferimento file o di una piattaforma di progettazione prodotto. Mantenere le patch aggiornate e limitare l'esposizione su Internet restano i modi più efficaci per restare fuori dal loro radar.