Clop 为 Windchill 数据窃取攻击打造定制 Web Shell

一个很可能与 Clop 勒索软件团伙有关的定制 Java Web Shell，是专门为 PTC Windchill 和 FlexPLM 服务器设计的，内置了解密凭据、枚举文件存储库和窃取文件的功能。
网络安全公司 ReliaQuest 在认为该 Web Shell 被部署于近期利用 CVE-2026-12569（一个影响 PTC Windchill 的严重远程代码执行漏洞）的数据窃取攻击中之后，对其进行了分析。
ReliaQuest 表示，该植入工具并非为攻击而重新利用的通用 Web Shell，而是基于对 Windchill 内部 API、数据库模式、密钥库和文件保险库结构的深入了解而构建的。
"这似乎是 Clop 既定大规模利用作战手册在特定应用上的演变。"ReliaQuest 在一份与 BleepingComputer 分享的报告中表示。
研究人员表示，他们是在情报收集过程中发现这个 Web Shell 的。
研究人员称，根据勒索邮件中包含的、该勒索软件团伙数据泄露网站上使用过的地址，之前观察到并同样用于该 Web Shell 的 X-windchill-req 请求头，以及威胁行为者常用的 TTP，该活动很可能与 Clop 有关。
Clop 勒索团伙在数据窃取攻击中入侵企业平台的历史由来已久，此前的行动曾针对 Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo 和 MOVEit Transfer 文件共享服务器，其中后者影响了全球超过 2,770 家组织。
正如 BleepingComputer 在 7 月报道的那样，Clop 在一场数据窃取勒索活动中，针对暴露在外的 PTC Windchill 和 FlexPLM 服务器，利用 CVE-2026-12569 并部署了 JSP Web Shell。
当时，ReliaQuest 表示归属尚未确认，但这些攻击与 Clop 此前针对安全文件共享应用的数据窃取行动有相似之处。
Ransom-ISAC 后来确认了与这些攻击相关的 Clop 活动，包括向受影响组织的数百名员工发送勒索邮件，其中包含该团伙的最新联系方式。
PTC 于 6 月 17 日开始发布针对 CVE-2026-12569 的修复程序，CISA 随后在威胁活动加剧的警告发出后，将该漏洞添加到其已知被利用漏洞目录中。
专为 Windchill 打造的 Web Shell
ReliaQuest 和 BleepingComputer 的分析证实，该工具旨在针对 Windchill 服务器，而非作为通用 Web Shell 使用。
该恶意软件是一个 JavaServer Pages (JSP) Web Shell，直接导入 Windchill 特有的类，包括 MethodContext、WTConnection 和 WTKeyStoreUtil。
这些类允许该 Shell 使用 Windchill 自身的功能来访问其数据库、解密存储的凭据，并定位存储在应用保险库中的文件。
"该 Web Shell 通过应用自身的 MethodContext 和 WTConnection 类连接到 Windchill 的数据库，这意味着其查询是在应用现有数据库身份下运行的，而非通过单独配置的攻击者账户。"ReliaQuest 解释道。
"因此，数据库遥测可能会将此活动归因于应用的正常服务身份，从而削弱了仅依赖检测新账户或异常源主机的告警的价值。"
该 Web Shell 使用通过 HTTP X-windchill-req 请求头发送的自定义协议进行控制，该请求头包含八个字符，其中第一个字符指定命令，其余七个字符与固定值匹配。
该 Web Shell 支持以下命令：
S – 窃取 Windchill 机密和配置：读取 Windchill 的 LDAP 配置，并使用应用自身的 WTKeyStoreUtil.decryptProperty() 函数解密 LDAP 管理员密码和其他加密的应用数据。
L – 映射 Windchill 的文件保险库：在 Windchill 的数据库中搜索文件名、存储路径和文件大小。结果会写入名为 flst.txt 的文件中，攻击者随后可使用 G 命令检索该文件。
D – 枚举目录并检索文件：枚举提供的路径并读取文件的部分内容。
G – 读取文件：检索指定文件的内容。
R – 删除文件：删除指定文件。
J – 加载并执行额外的 Java 代码：传入一个 Base64 编码的 ZIP 归档，将编译好的 Java 字节码直接加载到内存中，并在 Windchill 进程内执行。
O – 识别操作系统：返回操作系统名称。
E – 回显提供的数据：在 X-windchill-prm 请求头中回显数据，以验证 Web Shell 是否在响应。
ReliaQuest 表示，该 Web Shell 的保险库枚举也是专门设计用于查询 Windchill 数据库中的某些表。BleepingComputer 的分析显示，这些表是 ApplicationData、FVITEM、FVMOUNT 和 MasteredOnReplicaItem。
这家网络安全公司建议各组织立即修补存在漏洞的 Windchill 系统，并查找 Windchill 目录中异常的 JSP 文件，尤其是那些包含对 X-windchill-req 引用的文件。
怀疑其 Windchill 服务器已遭入侵的组织，还应更改 LDAP 管理员密码和其他 Windchill 凭据，因为它们应被视为已泄露。