Clop-ransomware angriper programvare for produktlivssyklusstyring

En ny bølge av utpressingangrep er i gang, og denne gangen har Clop-ransomwaregruppen (også sporet som Cl0p) rettet blikket mot produktlivssyklusstyringsplattformer (PLM). Sikkerhetsforskere har identifisert aktiv utnyttelse av internetteksponerte PTC Windchill- og FlexPLM-systemer, programvaren mange produsenter og produktdesignteam bruker for å håndtere tekniske data, dokumenter og arbeidsflyter gjennom et produkts hele livssyklus.

Angriperne utnytter CVE-2026-12569, et kritisk sårbarhet for uautentisert ekstern kodekjøring med en CVSS-score i området 9,3 til 9,8. Sårbarheten skyldes usikker deserialisering, et vanlig, men farlig kodingsmønster som gjør at ondsinnet input tolkes som kjørbare kommandoer i stedet for harmløse data. Fordi sårbarheten ikke krever autentisering, er enhver eksponert Windchill- eller FlexPLM-instans som er tilgjengelig fra det offentlige internett, et potensielt inngangspunkt. Sikkerhetsfirmaer, inkludert ReliaQuest, har flagget aktiviteten som en del av Clops etablerte spillebok: stjel sensitive data først, og bruk deretter trusselen om offentliggjøring til å presse ofrene til å betale.

Dette mønsteret bør føles kjent. Clop har bygget sitt rykte på å angripe fildeling- og bedriftsprogramvareplattformer i stedet for å distribuere tradisjonell filkrypterende ransomware, og foretrekker i stedet datatyveri og utpressing. Organisasjoner som kjører Windchill eller FlexPLM, spesielt de med instanser tilgjengelig utenfor det interne nettverket, bør behandle dette som en hasteprioritet for oppdatering og eksponeringsgjennomgang.

Hotel-Wi-Fi-kapringer stjeler Microsoft 365-pålogginger i det stille

Ved siden av PLM-utpressingskampanjen sporer forskere også en separat og urovekkende trend: angripere som kaprer hotellets Wi-Fi-nettverk for å avskjære Microsoft 365-legitimasjon. Forretningsreisende som kobler seg til kompromitterte hotellgjestenettverk, kan lydløst bli omdirigert til falske påloggingssider som er utformet for å se ut som ekte Microsoft-påloggingsportaler. Når en reisende skriver inn brukernavn og passord, går legitimasjonen rett til angriperen.

Hotell- og reiselivsnær infrastruktur har blitt et stadig mer attraktivt mål for legitimasjonstyveri og dataeksponering mer generelt. Det gjenspeiler bekymringene som ble reist av Reqrea hotellinnsjekkingsbruddet som eksponerte over én million pass, der en feilkonfigurert skylagringsbøtte gjorde sensitive identitetsdokumenter tilgjengelige i det som kan ha vært årevis. Enten det er en dårlig sikret Wi-Fi-gateway for gjester eller en ulåst skybøtte, fortsetter gjestfrihetsteknologi å være et svakt punkt i den bredere sikkerhetskjeden, og reisende er ofte de som blir stående eksponert.

For alle som jevnlig logger på bedriftskontoer mens de reiser, er dette en påminnelse om at hotellnettverk aldri bør behandles som pålitelig infrastruktur, uansett hvor offisiell påloggingsskjermen ser ut.

Certighost-domenekapringer og FastJson RCE kompletterer trusselbildet

For å fullføre denne klyngen av aktive trusler har forskere også flagget Certighost-relatert domenekapring og pågående utnyttelse knyttet til FastJson-sårbarheter for ekstern kodekjøring. Domenekapringer kan tillate angripere å overta legitime netteiendommer eller underdomener, ofte for å være vert for phishing-sider eller skadevare med et preg av lånt troverdighet. FastJson, et mye brukt Java-bibliotek for parsing av JSON-data, har en lang historie med deserialiseringssårbarheter som angripere fortsetter å våpenfeste mot uoppdaterte systemer.

Samlet sett illustrerer disse fire trådene – PLM-utpressing, Wi-Fi-legitimasjonstyveri på hotell, domenekapringer og RCE-feil på biblioteksnivå – hvor variert den nåværende angrepsflaten har blitt. Angripere utnytter alt fra deserialiseringsfeil i bedriftsprogramvare til Wi-Fi-ruteren i en hotellobby.

Hva dette betyr for deg

De fleste lesere vil ikke kjøre PTC Windchill eller FastJson direkte, men de underliggende lærdommene gjelder bredt. Hvis organisasjonen din bruker PLM-programvare, tekniske datahåndteringsverktøy eller en hvilken som helst internetteksponert bedriftsplattform, bør du bekrefte med IT-avdelingen om den er eksponert mot det offentlige internett, og om oppdateringer for kjente sårbarheter er installert. Hvis du reiser i jobbsammenheng og er avhengig av Microsoft 365 eller lignende skytjenester, vær forsiktig med hvilke nettverk du stoler på, og hvordan du autentiserer mens du er borte fra hjemmets eller kontorets nettverk.

Den felles tråden i alle disse hendelsene er eksponering: eksponerte servere, eksponerte nettverk, eksponert legitimasjon. Å redusere denne eksponeringen, enten gjennom oppdatering, nettverkssegmentering eller tryggere tilkoblingsvaner på reise, forblir det mest pålitelige forsvaret mot opportunistiske angripere.

Konkrete tiltak

  • Hvis organisasjonen din kjører PTC Windchill eller FlexPLM, prioriter oppdatering av CVE-2026-12569 og bekreft at disse systemene ikke er unødvendig eksponert mot internett.
  • Unngå å oppgi Microsoft 365- eller annen bedriftslegitimasjon over hotell- eller offentlig Wi-Fi; bruk i stedet en pålitelig VPN eller organisasjonens godkjente verktøy for ekstern tilgang.
  • Dobbelsjekk påloggingsadresser manuelt i stedet for å klikke på lenker, spesielt på ukjente nettverk, for å unngå å havne på forfalskede autentiseringssider.
  • Hold øye med sikkerhetsråd relatert til FastJson og usikker deserialisering hvis organisasjonen din bruker Java-baserte applikasjoner.

Denne Clop-ransomwarekampanjen mot PLM-systemer er en påminnelse om at utpressingsgrupper vil sikte seg inn mot den programvaren som lagrer verdifulle data, enten det er et filoverføringsverktøy eller en produktdesignplattform. Å holde seg oppdatert på oppdateringer og å begrense internetteksponering forblir de mest effektive måtene å holde seg utenfor deres radar.