Kampania ransomware Clop przeciwko Windchill i FlexPLM

Gang ransomware Clop, śledzony również pod nazwą Cl0p, rozpoczął nową kampanię wymuszeń poprzez kradzież danych, której celem są wystawione na internet instancje systemów PTC Windchill i FlexPLM. Są to korporacyjne platformy programowe używane przez producentów i firmy skoncentrowane na produktach do zarządzania danymi o cyklu życia produktu, plikami projektowymi i dokumentacją inżynieryjną. Zamiast stosować tradycyjne oprogramowanie ransomware szyfrujące pliki, operatorzy Clop koncentrują się na kradzieży danych z tych systemów, a następnie wykorzystują skradzione informacje jako dźwignię do wymuszenia okupu.

Takie podejście, często nazywane atakiem wyłącznie wymuszającym lub ransomware kradnącym dane, stało się znakiem rozpoznawczym Clop w ciągu ostatnich kilku lat. Zamiast blokować systemy poprzez szyfrowanie, grupa po cichu eksfiltruje wrażliwe pliki, a następnie grozi ich publikacją lub sprzedażą, chyba że zapłacony zostanie okup. Dla organizacji korzystających z Windchill lub FlexPLM z dostępem do publicznego internetu, ta kampania stanowi bezpośrednie i natychmiastowe ryzyko dla zastrzeżonych danych produktowych, własności intelektualnej oraz potencjalnie informacji o klientach i partnerach przechowywanych na tych platformach.

Dlaczego PTC Windchill i FlexPLM są atrakcyjnymi celami

PTC Windchill i FlexPLM to szeroko stosowane narzędzia do zarządzania cyklem życia produktu (PLM), popularne w branżach produkcyjnej, projektowania przemysłowego, lotniczej, motoryzacyjnej i dóbr konsumpcyjnych. Platformy te zazwyczaj przechowują najbardziej wrażliwą własność intelektualną firmy: specyfikacje projektowe, plany inżynieryjne, dane BOM (bill-of-materials) i mapy drogowe produktów. To czyni je bardzo wartościowym celem dla grupy takiej jak Clop, która konsekwentnie skupia swoje wysiłki na oprogramowaniu biznesowym przechowującym ogromne ilości poufnych danych korporacyjnych, a nie na informacjach konsumenckich.

Instancje wystawione na internet, czyli systemy dostępne spoza wewnętrznej sieci firmy bez odpowiednich ograniczeń, są szczególnie narażone. Kiedy tego rodzaju oprogramowanie korporacyjne jest osiągalne z otwartego internetu, dramatycznie poszerza to powierzchnię ataku dostępną dla aktorów zagrożeń skanujących w poszukiwaniu podatnych systemów. Clop zbudował swoją reputację na znajdowaniu i wykorzystywaniu takich ekspozycji na dużą skalę, często kompromitując dziesiątki lub setki organizacji w jednej skoordynowanej fali, zanim żądania zostaną upublicznione.

Utrwalony schemat masowej eksploatacji Clop

Nie jest to dla Clop nowość. Grupa ma dobrze udokumentowaną historię identyfikowania oprogramowania korporacyjnego z komponentami dostępnymi z internetu i wykorzystywania ich jako punktu wejścia do masowych kampanii kradzieży danych. Najświeższym przykładem jest wykorzystanie krytycznej podatności w Oracle E-Business Suite, co doprowadziło do naruszenia danych Estée Lauder, po tym jak atakujący uzyskali dostęp do informacji pracowniczych za pośrednictwem skompromitowanego systemu. Ten incydent przebiegał według tego samego schematu, który jest teraz stosowany wobec Windchill i FlexPLM: zlokalizuj szeroko wdrażane oprogramowanie korporacyjne, wykorzystaj wystawione instancje, wykradnij dane, a następnie wywieraj presję na ofiary poprzez żądania okupu zamiast szyfrowania.

Konsekwencja tej strategii ma znaczenie dla obrońców. Clop rzadko atakuje pojedynczą organizację w izolacji. Zamiast tego grupa zazwyczaj identyfikuje konkretną platformę programową, wykorzystuje ją szeroko we wszystkich dostępnych instancjach, które może znaleźć, a następnie przez tygodnie lub miesiące pracuje nad listą ofiar. Organizacje korzystające z Windchill lub FlexPLM powinny traktować tę kampanię jako aktywne, ciągłe zagrożenie, a nie jako odosobniony incydent związany z jedną firmą.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z PTC Windchill lub FlexPLM, szczególnie z jakimkolwiek komponentem dostępnym z publicznego internetu, ta kampania powinna skłonić do natychmiastowego przeglądu ekspozycji. Zespoły IT i bezpieczeństwa powinny potwierdzić, czy te systemy są dostępne z zewnątrz, zastosować wszystkie dostępne poprawki dostawcy i aktualizacje zabezpieczeń oraz ograniczyć dostęp w miarę możliwości za pomocą zapór sieciowych, VPN-ów lub segmentacji sieci, aby platformy nie były bezpośrednio osiągalne z otwartego internetu.

Nawet organizacje, które nie korzystają z tych konkretnych platform, powinny zwrócić uwagę na szerszy wzorzec. Strategia Clop polegająca na atakowaniu powszechnie używanego oprogramowania korporacyjnego, jak pokazało wcześniejsze naruszenie Estée Lauder powiązane z Oracle EBS, wskazuje na konsekwentną preferencję dla wysoko wartościowych systemów biznesowych nad indywidualnymi celami konsumenckimi. Każda firma korzystająca z oprogramowania korporacyjnego wystawionego na internet, czy to do zarządzania produktami, planowania zasobów czy transferu plików, powinna zakładać, że może stać się kolejnym celem w podobnej fali.

Praktyczne wnioski

Organizacje korzystające z PTC Windchill lub FlexPLM powinny niezwłocznie podjąć następujące kroki:

  • Sprawdzić, czy instancje Windchill lub FlexPLM są wystawione na publiczny internet, i natychmiast ograniczyć dostęp, jeśli tak jest.
  • Zastosować najnowsze poprawki zabezpieczeń i aktualizacje od PTC, gdy tylko staną się dostępne.
  • Monitorować logi systemowe pod kątem nietypowych wzorców dostępu lub nieautoryzowanych transferów danych.
  • Przejrzeć plany reagowania na incydenty szczególnie w scenariuszach wymuszeń poprzez kradzież danych, które różnią się od tradycyjnych zdarzeń szyfrującego ransomware.
  • Być na bieżąco z aktywnością Clop, ponieważ grupa ma udokumentowaną historię rozszerzania kampanii wymierzonych w pojedynczą platformę programową w czasie.

Kampania ransomware Clop przeciwko Windchill i FlexPLM przypomina, że wymuszenia poprzez kradzież danych pozostają jednym z najbardziej uporczywych zagrożeń dla użytkowników oprogramowania korporacyjnego. Wyprzedzenie go oznacza zmniejszenie ekspozycji na internet już teraz, a nie czekanie, aż nadejdzie powiadomienie o naruszeniu.