Clop sfrutta Windchill e FlexPLM per rubare progetti industriali

🛡️ Executive Summary

• Clop concatena una falla informativa di FlexPLM con CVE-2026-12569 per ottenere esecuzione di codice senza autenticazione sui server esposti.
• Gli attaccanti installano webshell JSP, enumerano i filesystem e preparano all’esfiltrazione progetti, documenti tecnici e informazioni sulle filiere industriali.
• PTC ha distribuito versioni corrette: occorre aggiornare, limitare l’esposizione Internet e cercare compromissioni risalenti almeno ai primi giorni di giugno.

Operatori associati all’ecosistema ransomware Clop stanno sfruttando installazioni esposte di PTC Windchill e FlexPLM per entrare senza autenticazione nei server, installare webshell e sottrarre informazioni industriali. La campagna colpisce piattaforme utilizzate per gestire progettazione, produzione, supply chain e ciclo di vita dei prodotti nei settori manifatturiero, automobilistico, aerospaziale e dell’abbigliamento. Al centro degli attacchi compare CVE-2026-12569, vulnerabilità critica che gli aggressori concatenano con una seconda debolezza informativa. Parallelamente, un’indagine su DevMan, tracciato come Funky Mantis, mostra come il ransomware-as-a-service stia diventando una piattaforma centralizzata per distribuire accessi, payload, vittime e pagamenti.

Clop concatena due falle per ottenere l’accesso remoto

La catena osservata parte da una vulnerabilità di information disclosure raggiungibile prima dell’autenticazione nell’endpoint WSDL di FlexPLM. Le informazioni ottenute vengono utilizzate insieme a una debolezza del servlet di login di Windchill, associata a CVE-2026-12569, per eseguire codice sul server senza disporre di credenziali valide. La vulnerabilità critica deriva dalla gestione insicura di dati non attendibili e può produrre una compromissione completa di riservatezza, integrità e disponibilità del sistema. Secondo l’avviso coordinato pubblicato da Ransom-ISAC con eCrime.ch e DEFUSED, gli attaccanti sarebbero riusciti a utilizzare la falla già nei primi giorni di giugno 2026, prima della divulgazione pubblica avvenuta il 17 giugno. La valutazione resta espressa in termini probabilistici, ma la cronologia rende plausibile l’uso della vulnerabilità come zero-day durante la fase iniziale della campagna.

CISA ha successivamente inserito CVE-2026-12569 nel catalogo delle vulnerabilità sfruttate attivamente, confermando che l’esposizione non rappresenta soltanto un rischio teorico. PTC ha distribuito build corrette per entrambi i difetti, ma le istanze Windchill e FlexPLM accessibili direttamente da Internet e non aggiornate rimangono il principale punto di ingresso.

Le webshell JSP aprono gli archivi di progettazione

Dopo l’esecuzione iniziale, gli operatori depositano webshell JSP nella directory /Windchill/login/, utilizzando nomi composti da 16 caratteri esadecimali per ridurre la probabilità di individuazione. Le webshell permettono di impartire comandi, esplorare il filesystem e mantenere un canale di controllo sul server compromesso. Tra gli artefatti osservati compare flst.txt, file utilizzato per registrare o preparare gli elenchi dei contenuti presenti nell’ambiente. L’attività successiva comprende la ricognizione delle directory, la selezione dei dati e la preparazione di materiale tecnico destinato all’esfiltrazione.

Windchill e FlexPLM non sono normali repository documentali: contengono disegni, distinte base, specifiche, versioni dei componenti, dati sui fornitori, flussi di approvazione e informazioni che descrivono come un prodotto viene progettato e costruito. La compromissione può quindi esporre proprietà intellettuale, programmi non annunciati e dipendenze critiche della supply chain. La dinamica richiama gli attacchi contro Oracle E-Business Suite attribuiti a Clop, nei quali l’obiettivo principale non consisteva necessariamente nel cifrare ogni sistema, ma nel raggiungere applicazioni enterprise capaci di concentrare grandi quantità di dati economicamente sensibili.

Le email di estorsione raggiungono centinaia di dipendenti

Dal 20 luglio, Ransom-ISAC ha osservato messaggi di estorsione con l’oggetto “Windchill PDMLink module serious data leak”, inviati a un numero non determinato di organizzazioni potenzialmente compromesse. Le email sembrano provenire da account sottratti ad altri utenti e vengono recapitate contemporaneamente a centinaia di dipendenti della stessa azienda. La scelta aumenta la pressione interna: anche quando il primo destinatario appartiene a un reparto privo di responsabilità tecnica, la comunicazione può raggiungere dirigenti, personale legale, uffici stampa e responsabili della sicurezza. Clop indica nei messaggi nuovi indirizzi di contatto e sostiene di avere sottratto dati attraverso il software PTC. La campagna segue lo schema della doppia estorsione, ma non richiede necessariamente la cifratura estesa dell’infrastruttura. Il potere negoziale deriva dalla disponibilità di documenti industriali e dalla minaccia di pubblicarli. Al 22 luglio 2026, il gruppo non aveva ancora inserito pubblicamente sul proprio leak site le presunte vittime della nuova operazione. Questo intervallo non deve essere interpretato come assenza di compromissione, perché Clop ha già dimostrato di poter contattare privatamente le organizzazioni prima di iniziare la divulgazione. La precedente campagna contro MOVEit ha mostrato quanto lo sfruttamento seriale di un prodotto enterprise possa trasformare una singola vulnerabilità in una raccolta industrializzata di dati appartenenti a migliaia di soggetti.

Gli indicatori permettono di cercare accessi da giugno

Le aziende che utilizzano Windchill o FlexPLM devono applicare gli aggiornamenti PTC e avviare una verifica retroattiva almeno fino ai primi giorni di giugno 2026. Gli elementi da cercare comprendono richieste verso percorsi WSDL sotto /Windchill/rfa/jsp/login/, webshell JSP con nomi esadecimali, il file flst.txt e il particolare header X-windchill-req. Ransom-ISAC ha inoltre pubblicato nuovi indirizzi IP collegati all’infrastruttura osservata, indicando 5.180.41.35 come elemento prioritario per il blocco. La sola assenza di connessioni verso gli indicatori più recenti non esclude tuttavia una violazione, perché server di comando, relay e sistemi compromessi possono cambiare durante la campagna. Le istanze esposte dovrebbero essere collocate dietro VPN, reverse proxy autenticati o gateway di accesso fidati, limitando le interfacce amministrative ai soli utenti autorizzati. In presenza di segnali sospetti occorre isolare il server, preservare log e immagini forensi, verificare i processi Java, controllare i file creati nelle directory dell’applicazione e ruotare le credenziali accessibili dal sistema. L’urgenza è simile a quella osservata quando Qilin ha sfruttato una vulnerabilità PAN-OS per entrare nelle reti aziendali: applicare la patch chiude il vettore noto, ma non rimuove webshell, account persistenti o credenziali già sottratte.

Funky Mantis trasforma il ransomware in una piattaforma

La seconda ricerca descrive un modello differente ma complementare. PRODAFT traccia come Funky Mantis l’operazione ransomware conosciuta pubblicamente come DevMan, passata dal ruolo di affiliato di Qilin, DragonForce, Apos e RansomHub alla gestione di un proprio servizio RaaS. Il gruppo non coordina più gli attacchi soltanto attraverso chat private: utilizza un portale centralizzato che integra generazione dei payload, contabilità, assistenza, conversazioni con le vittime, gestione delle squadre, scadenze, ripartizione dei ricavi e registrazione degli accessi iniziali.

La ricostruzione della piattaforma Funky Mantis pubblicata da PRODAFT mostra una progressiva formalizzazione dell’organizzazione criminale. La terza versione del portale, introdotta nel gennaio 2026, consente di creare schede strutturate per ogni vittima, assegnare stati operativi, impostare scadenze e generare una configurazione specifica del locker. Gli amministratori offrono anche accessi a reti suddivise per Paese, chiedono agli affiliati se intendono utilizzare un ingresso ottenuto autonomamente o fornito dal programma e impongono finestre operative di due o tre giorni. Il modello avvicina l’attività ransomware a un sistema gestionale, nel quale l’intrusione viene trattata come una commessa da assegnare, monitorare e monetizzare.

Affiliati controllati e riscatti divisi all’80 per cento

Funky Mantis mantiene una struttura gerarchica che limita l’autonomia degli affiliati. I nuovi operatori vengono inseriti nelle chat aziendali dopo avere prodotto una prima vittima e ricevono il supporto di un curatore esperto. Chi rimane per un mese senza nuovi risultati può essere escluso, mentre la creazione di squadre e la divulgazione dell’appartenenza al programma richiedono l’approvazione dei responsabili. L’amministrazione può intervenire direttamente nelle trattative quando un affiliato non rispetta gli impegni o adotta comportamenti considerati dannosi per il servizio. I pagamenti seguono una ripartizione 80-20, con il riscatto inviato a due wallet distinti: uno attribuito all’operatore e uno collegato al programma RaaS.

Il portale permette di costruire locker per Windows, Linux ed ESXi, riflettendo l’esigenza di cifrare contemporaneamente endpoint, server e infrastrutture virtualizzate. La variante Windows verifica i privilegi amministrativi, tenta di disabilitare i controlli di sicurezza, termina servizi e processi, cancella i log, ostacola il recupero, individua condivisioni di rete ed esegue la cifratura attraverso più thread. I file fino a 3 MiB vengono cifrati completamente con ChaCha20-Poly1305, mentre quelli più grandi subiscono una cifratura intermittente per accelerare l’impatto. La maturità del modello spiega perché nuovi ransomware come Spirals possano attraversare una rete in meno di 24 ore: accesso iniziale, payload, supporto tecnico e negoziazione vengono ormai distribuiti da strutture specializzate, riducendo le competenze richieste al singolo affiliato.

Infrastrutture critiche ammesse nelle regole del programma

La policy di DevMan vieta gli attacchi contro organizzazioni situate nei Paesi della Comunità degli Stati Indipendenti, in Serbia, contro consolati collegati alla CIS e contro determinate società considerate vicine a quell’area geopolitica. Le regole consentono invece esplicitamente di colpire infrastrutture critiche e invitano gli affiliati a richiedere un encryptor separato per ambienti SCADA.

Il gruppo aveva già dichiarato di avere sviluppato un locker destinato ai sistemi industriali, sostenendo che il malware potesse spingere componenti di controllo oltre i normali parametri operativi. Questa affermazione non equivale alla dimostrazione di una capacità realmente utilizzata contro impianti, ma segnala una volontà di ampliare l’estorsione oltre la perdita dei dati e l’interruzione dei sistemi IT. L’operazione Clop contro Windchill e la piattaforma Funky Mantis rappresentano così due fasi della stessa industrializzazione criminale. Nel primo caso, una vulnerabilità in un prodotto enterprise concentra l’accesso a dati industriali di grande valore; nel secondo, un’infrastruttura RaaS distribuisce reti compromesse, strumenti e procedure agli affiliati. La superficie più redditizia non è più necessariamente il singolo computer, ma la piattaforma centrale che conserva i processi, i progetti e le autorizzazioni dell’intera organizzazione.