Los actores de amenazas vinculados a la campaña de ransomware Cl0p (también conocido como Chubby Scorpius, FIN11, Graceful Spider y Lace Tempest) están explotando fallas en las implementaciones de PTC Windmill y FlexPLM expuestas a Internet como parte de una nueva campaña de extorsión de datos.
“Los atacantes encadenan una divulgación de información de autenticación previa en el punto final FlexPLM WSDL con una falla del lado del servidor en el servlet de inicio de sesión de Windchill, lo que permite la ejecución remota de código no autenticado y la implementación de shells web JSP con nombres hexadecimales en /Windchill/login/”, según un nuevo aviso coordinado publicado por Ransom-ISAC junto con eCrime.ch y DEFUSED.
Al lograr un punto de apoyo inicial, se descubrió que los atacantes realizaban enumeraciones del sistema de archivos, escenificaban datos de ingeniería/diseño y, en última instancia, llevaban a cabo doble extorsión y robo de datos. Los objetivos de la campaña incluyen los sectores manufacturero, automotriz, aeroespacial y minorista.
Se sospecha que los actores de amenazas están explotando CVE-2026-12569 (puntuación CVSS: 9,3), una falla de seguridad crítica en PTC Windmill que se agregó al catálogo de vulnerabilidades explotadas conocidas (KEV) de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) a fines del mes pasado.
En un aviso, PTC advirtió a los clientes que había “recibido informes continuos de una mayor actividad de amenazas”, y agregó que atacantes desconocidos están explotando la vulnerabilidad para implementar shells web JSP contra sistemas susceptibles.
“En las intrusiones observadas, este RCE está encadenado con un defecto separado de divulgación de información previa a la autenticación en el punto final FlexPLM WSDL (CVSS v3.1 7.5) para permitir la explotación no autenticada”, dijeron los investigadores Brandon Parsons, Corsin Camichel y Simo Kohonen.
Ransom-ISAC ha compartido cuatro direcciones IP como indicadores de compromiso (IoC), todas las cuales coinciden con las compartidas por PTC.
- 216.152.148.54
- 216.152.151.204
- 104.243.35.63
- 5.180.41.35
Los correos electrónicos de extorsión parecen provenir de cuentas previamente comprometidas y se envían a cientos de usuarios dentro de una organización afectada, junto con formas de contactar al equipo de ransomware Cl0p.
En una publicación separada en X, ReliaQuest dijo que observó actores de amenazas explotando activamente CVE-2026-12569 para facilitar la “ejecución remota de código no autenticado y la implementación de shell web JSP para la ejecución remota de comandos y la exfiltración de datos confidenciales de productos”.
“El actor detrás de estos ataques aún no está confirmado. Sin embargo, el arte observado comparte características con campañas anteriores de Cl0p dirigidas a aplicaciones empresariales y repositorios de datos de alto valor”, añadió.
La pandilla Cl0p tiene un historial de perseguir fallas de seguridad en productos empresariales ampliamente utilizados para ingresar a organizaciones objetivo de robo de datos y ataques de extorsión. Las campañas anteriores montadas por el grupo han convertido en armas dispositivos de transferencia de archivos, incluidos los de Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo y MOVEit Transfer, así como una vulnerabilidad en Oracle E-Business Suite.