Clop-ransomware richt zich op PTC Windchill- en FlexPLM-systemen

Clop-ransomware Windchill FlexPLM-campagne duikt op

De Clop-ransomwarebende, ook wel gevolgd onder de naam Cl0p, heeft een nieuwe campagne voor gegevensdiefstal en afpersing gelanceerd die zich richt op aan het internet blootgestelde instanties van PTC Windchill en FlexPLM. Dit zijn bedrijfssoftwareplatforms die door fabrikanten en productgerichte bedrijven worden gebruikt om productlevenscyclusgegevens, ontwerpbestanden en technische dossiers te beheren. In plaats van traditionele bestandversleutelende ransomware in te zetten, concentreren de operators van Clop zich op het stelen van gegevens uit deze systemen en gebruiken ze die gestolen informatie vervolgens als pressiemiddel om slachtoffers tot betaling van losgeld te dwingen.

Deze aanpak, vaak aangeduid als alleen-afpersing of datadiefstal-ransomware, is de afgelopen jaren het handelsmerk van Clop geworden. In plaats van systemen met encryptie te vergrendelen, exfiltreert de groep stilletjes gevoelige bestanden en dreigt ermee deze openbaar te maken of te verkopen als er niet wordt betaald. Voor organisaties die Windchill of FlexPLM draaien met blootstelling aan het openbare internet vormt deze campagne een direct en onmiddellijk risico voor bedrijfseigen productgegevens, intellectueel eigendom en mogelijk klant- of partnerinformatie die binnen deze platforms is opgeslagen.

Waarom PTC Windchill en FlexPLM aantrekkelijke doelwitten zijn

PTC Windchill en FlexPLM zijn veelgebruikte tools voor productlevenscyclusbeheer (PLM), die veel voorkomen in de productie, industrieel ontwerp, lucht- en ruimtevaart, automotive en consumentengoederen. Deze platforms bevatten doorgaans de gevoeligste intellectuele eigendom van een bedrijf: ontwerpspecificaties, technische blauwdrukken, stuklijstgegevens en productroadmaps. Dat maakt ze tot een hoogwaardig doelwit voor een groep als Clop, die haar inspanningen consequent richt op bedrijfssoftware die grote hoeveelheden vertrouwelijke bedrijfsgegevens opslaat in plaats van persoonlijke consumenteninformatie.

Aan het internet blootgestelde instanties – systemen die van buiten het interne netwerk van een bedrijf toegankelijk zijn zonder adequate beperkingen – zijn bijzonder kwetsbaar. Wanneer dergelijke bedrijfssoftware bereikbaar is vanaf het open internet, vergroot dat het aanvalsoppervlak voor dreigingsactoren die naar exploiteerbare systemen scannen aanzienlijk. Clop heeft haar reputatie opgebouwd door dit soort blootstellingen op schaal te vinden en uit te buiten, waarbij vaak tientallen of honderden organisaties in één gecoördineerde golf worden gecompromitteerd voordat de eisen openbaar worden.

Het bekende patroon van massa-exploitatie van Clop

Dit is geen nieuw terrein voor Clop. De groep heeft een goed gedocumenteerde geschiedenis van het identificeren van bedrijfssoftware met naar het internet gerichte componenten en het gebruiken hiervan als toegangspunt voor grootschalige campagnes voor gegevensdiefstal. Een recent voorbeeld is de uitbuiting door de groep van een kritieke kwetsbaarheid in Oracle E-Business Suite, die leidde tot het Estée Lauder datalek nadat aanvallers via het gecompromitteerde systeem toegang kregen tot personeelsinformatie. Dat incident volgde hetzelfde draaiboek dat nu op Windchill en FlexPLM wordt toegepast: lokaliseer breed ingezette bedrijfssoftware, buit blootgestelde instanties uit, ontfutsel gegevens en zet slachtoffers onder druk met afpersingseisen in plaats van encryptie.

De consistentie van deze strategie is van belang voor verdedigers. Clop viseert zelden een enkele organisatie geïsoleerd. In plaats daarvan identificeert de groep doorgaans een specifiek softwareplatform, buit het breed uit via elke blootgestelde instantie die ze kan vinden en werkt vervolgens weken of maandenlang de lijst met slachtoffers af. Organisaties die Windchill of FlexPLM draaien, moeten deze campagne behandelen als een actieve, voortdurende dreiging in plaats van als een op zichzelf staand incident dat aan één bedrijf is gekoppeld.

Wat dit voor u betekent

Als uw organisatie PTC Windchill of FlexPLM gebruikt, in het bijzonder met een component die vanaf het openbare internet bereikbaar is, moet deze campagne aanzetten tot een onmiddellijke evaluatie van uw blootstelling. IT- en beveiligingsteams moeten controleren of deze systemen extern toegankelijk zijn, beschikbare patches of beveiligingsupdates van de leverancier toepassen en overal waar mogelijk de toegang beperken met firewalls, VPN's of netwerksegmentatie, zodat de platforms niet rechtstreeks bereikbaar zijn vanaf het open internet.

Zelfs organisaties die deze specifieke platforms niet gebruiken, moeten aandacht besteden aan het bredere patroon. De strategie van Clop om veelgebruikte bedrijfssoftware te viseren, zoals eerder te zien was bij het Estée Lauder-datalek in verband met Oracle EBS, toont een consistente voorkeur voor hoogwaardige bedrijfssystemen boven individuele consumentendoelen. Elk bedrijf dat bedrijfssoftware met internettoegang draait, of het nu voor productbeheer, resourceplanning of bestandsoverdracht is, moet ervan uitgaan dat het het volgende doelwit in een soortgelijke golf zou kunnen worden.

Concrete actiepunten

Organisaties die PTC Windchill of FlexPLM draaien, moeten onmiddellijk de volgende stappen nemen:

• Onderzoek of Windchill- of FlexPLM-instanties zijn blootgesteld aan het openbare internet en beperk de toegang onmiddellijk als dat het geval is.
• Pas de nieuwste beveiligingspatches en updates van PTC toe zodra deze beschikbaar zijn.
• Controleer systeemlogboeken op ongebruikelijke toegangspatronen of ongeautoriseerde gegevensoverdrachten.
• Evalueer incidentresponsplannen specifiek voor scenario's van afpersing met gegevensdiefstal, die verschillen van traditionele ransomware-encryptiegebeurtenissen.
• Blijf op de hoogte van de activiteiten van Clop, aangezien de groep erom bekend staat campagnes tegen één enkel softwareplatform in de loop van de tijd uit te breiden.

De Clop-ransomware Windchill FlexPLM-campagne herinnert eraan dat datadiefstal-afpersing een van de hardnekkigste bedreigingen blijft voor gebruikers van bedrijfssoftware. Voorblijven betekent de blootstelling aan het internet nu verminderen, niet wachten tot er een datalekmelding binnenkomt.