Clop Targetkan PTC Windchill dan FlexPLM dalam Serangan Pencurian Data

Kelompok ransomware Clop atau Cl0p dilaporkan menargetkan instance PTC Windchill dan PTC FlexPLM yang terekspos ke internet dalam kampanye pencurian data dan pemerasan baru.

Serangan ini dikaitkan dengan eksploitasi kerentanan kritis CVE-2026-12569 pada platform Product Lifecycle Management (PLM) tersebut. Celah ini memungkinkan eksekusi kode jarak jauh pada sistem yang rentan, sehingga membuka jalan bagi pemasangan JSP webshell dan eksfiltrasi data sensitif dari lingkungan PLM korban.

PTC Windchill dan FlexPLM banyak digunakan oleh organisasi di sektor manufaktur, otomotif, aerospace, pertahanan, retail, apparel, heavy machinery, hingga medtech untuk mengelola desain, rekayasa, rantai pasok, dan siklus hidup produk. Karena itu, kompromi terhadap platform ini berpotensi mengekspos data teknik, desain produk, dan dokumen bisnis bernilai tinggi.

Eksploitasi CVE-2026-12569 dan Pemasangan JSP Webshell

Menurut laporan keamanan yang beredar, aktor ancaman mengeksploitasi CVE-2026-12569 untuk menjalankan kode tanpa autentikasi pada deployment Windchill dan FlexPLM yang dapat diakses dari internet. Dalam intrusi yang diamati, eksploitasi tersebut digunakan untuk menanamkan JSP webshell, menjalankan perintah jarak jauh, dan mengambil data dari sistem PLM yang telah dikompromikan.

Ransom-ISAC juga menjelaskan bahwa serangan ini melibatkan rantai eksploitasi yang menggabungkan information disclosure pra-autentikasi pada endpoint FlexPLM WSDL dengan flaw pada servlet login Windchill. Kombinasi tersebut memungkinkan unauthenticated remote code execution, pemasangan webshell bernama heksadesimal di jalur /Windchill/login/, enumerasi filesystem melalui flst.txt, serta staging data sebelum proses pemerasan.

Indikator teknis yang disorot dalam advisory mencakup pola webshell /Windchill/login/[0-9a-f]{16}.jsp, header mencurigakan X-windchill-req: ?x8Fmgow, serta aktivitas reconnaissance terhadap endpoint WSDL FlexPLM.

Email Pemerasan Dikirim ke Banyak Karyawan

Selain eksploitasi teknis, kampanye ini juga menonjol karena pola pemerasannya. Clop disebut mengirim email pemerasan ke banyak karyawan dalam organisasi terdampak, bukan hanya ke kontak keamanan atau eksekutif tertentu.

Email tersebut dilaporkan berasal dari akun yang kemungkinan telah dikompromikan sebelumnya dan dikirim ke ratusan pengguna dalam organisasi korban. Pesannya mencantumkan informasi kontak terbaru milik Clop, sebuah pola yang mengingatkan pada kampanye pemerasan terhadap Oracle E-Business Suite pada tahun sebelumnya.

Perubahan alamat email sebelum memulai gelombang pemerasan baru disebut sebagai taktik yang umum digunakan kelompok ini. Tujuannya adalah memastikan korban tetap dapat menghubungi operator setelah data dicuri, sekaligus meningkatkan tekanan internal karena banyak karyawan menerima pesan serupa.

CISA Masukkan Celah ke Katalog KEV

PTC mulai merilis patch untuk CVE-2026-12569 pada 17 Juni 2026 dan menerbitkan panduan remediasi bagi pelanggan. Perusahaan juga meminta pelanggan meninjau lingkungan mereka untuk mencari indicator of compromise (IOC), terutama pada sistem yang sebelumnya terekspos internet.

Setelah PTC memperingatkan adanya peningkatan aktivitas ancaman pada 26 Juni 2026, CISA memasukkan CVE-2026-12569 ke Known Exploited Vulnerabilities (KEV) catalog. Lembaga tersebut juga mewajibkan agensi federal Amerika Serikat mengamankan instance PTC Windchill dan FlexPLM dalam tenggat tiga hari.

Otoritas keamanan Jerman juga dilaporkan mengambil langkah darurat dengan menghubungi pelanggan PTC untuk mendorong patching secepat mungkin. Respons cepat ini menunjukkan tingkat risiko yang tinggi, terutama bagi organisasi yang mengoperasikan PLM sebagai bagian dari rantai produksi dan desain.

Riwayat Clop dalam Serangan Pencurian Data

Clop memiliki riwayat panjang menargetkan aplikasi enterprise dan repositori data bernilai tinggi. Kelompok ini sebelumnya dikaitkan dengan kampanye terhadap Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo, MOVEit Transfer, dan Oracle E-Business Suite.

Dalam banyak kasus, Clop tidak selalu berfokus pada enkripsi file. Strateginya adalah mencuri data sensitif, mengirim tuntutan pemerasan, lalu mempublikasikan data melalui leak site jika korban tidak membayar. Model ini membuat organisasi tetap menghadapi tekanan besar meskipun sistem produksi tidak mengalami enkripsi massal.

Langkah Mitigasi untuk Pengguna Windchill dan FlexPLM

Pengguna PTC Windchill dan FlexPLM disarankan segera menerapkan patch resmi, menempatkan sistem di balik VPN atau trusted access gateway jika memungkinkan, serta membatasi exposure langsung ke internet.

Jika ada indikasi kompromi, server terdampak perlu diisolasi, artefak forensik dikumpulkan, dan kredensial yang berpotensi terekspos harus dirotasi sebelum layanan dipulihkan. Organisasi juga perlu melakukan threat hunting ke periode awal Juni 2026, karena eksploitasi diduga telah berlangsung sebelum sebagian patch diterapkan.

Insiden ini menjadi pengingat bahwa platform PLM bukan sekadar aplikasi internal biasa. Di banyak perusahaan besar, sistem tersebut menyimpan desain, spesifikasi, data produksi, dan informasi rantai pasok yang sangat bernilai bagi pelaku pencurian data.

Sumber: Ransom-ISAC