🌟 Atualização imperdível para quem gosta de estar bem informado!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Um shell web Java personalizado provavelmente vinculado à gangue de ransomware Clop foi projetado especificamente para servidores PTC Windchill e FlexPLM, com recursos integrados para descriptografar credenciais, enumerar repositórios de arquivos e roubar arquivos.
A empresa de segurança cibernética ReliaQuest analisou o web shell depois que se acredita que ele tenha sido implantado em recentes ataques de roubo de dados explorando CVE-2026-12569, uma vulnerabilidade crítica de execução remota de código que afeta o PTC Windchill.
A ReliaQuest diz que o implante não é um web shell genérico reaproveitado para os ataques, mas foi construído com conhecimento detalhado das APIs internas do Windchill, esquema de banco de dados, armazenamento de chaves e estrutura de cofre de arquivos.
“Esta parece ser uma evolução específica da aplicação do manual de exploração em massa estabelecido pelo Clop”, disse ReliaQuest em um relatório compartilhado com o BleepingComputer.
Os pesquisadores dizem que encontraram o web shell durante o processo de coleta de inteligência.
Os pesquisadores dizem que a atividade provavelmente está vinculada ao Clop com base em e-mails de extorsão contendo endereços usados no site de vazamento de dados da gangue de ransomware, cabeçalhos X-windchill-req observados anteriormente também usados no web shell e TTps comumente usados pelos atores da ameaça.
A gangue de extorsão Clop tem um longo histórico de violação de plataformas empresariais em ataques de roubo de dados, com campanhas anteriores visando servidores de compartilhamento de arquivos Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer, este último afetando mais de 2.770 organizações em todo o mundo.
E-mail de extorsão ClopFonte: Ransom-ISAC
Conforme relatado pelo BleepingComputer em julho, Clop teve como alvo servidores PTC Windchill e FlexPLM expostos em uma campanha de extorsão de roubo de dados envolvendo a exploração de CVE-2026-12569 e a implantação de shells da web JSP.
Na época, a ReliaQuest disse que a atribuição não foi confirmada, mas os ataques compartilhavam semelhanças com campanhas anteriores de roubo de dados do Clop visando aplicativos seguros de compartilhamento de arquivos.
Posteriormente, o Ransom-ISAC confirmou a atividade do Clop associada aos ataques, incluindo e-mails de extorsão enviados a centenas de funcionários das organizações afetadas e contendo as informações de contato mais recentes da gangue.
A PTC começou a lançar correções para CVE-2026-12569 em 17 de junho, e a CISA posteriormente adicionou a vulnerabilidade ao seu catálogo de vulnerabilidades exploradas conhecidas após avisos de aumento de atividade de ameaça.
Um web shell desenvolvido especificamente para o Windchill
A análise da ReliaQuest e BleepingComputer confirma que a ferramenta foi projetada para atingir servidores Windchill, em vez de atuar como um web shell genérico.
O malware é um web shell JavaServer Pages (JSP) que importa diretamente classes específicas do Windchill, incluindo MethodContext, WTConnection e WTKeyStoreUtil.
Essas classes permitem que o shell use as próprias funções do Windchill para acessar seu banco de dados, descriptografar credenciais armazenadas e localizar arquivos armazenados em cofres de aplicativos.
“O web shell se conecta ao banco de dados do Windchill por meio das próprias classes MethodContext e WTConnection do aplicativo, o que significa que suas consultas são executadas sob a identidade do banco de dados existente do aplicativo, em vez de por meio de uma conta de invasor configurada separadamente”, explica ReliaQuest.
“Como resultado, a telemetria do banco de dados pode atribuir essa atividade à identidade normal do serviço do aplicativo, limitando o valor dos alertas que dependem exclusivamente da detecção de novas contas ou hosts de origem inesperados”.
O web shell é controlado por meio de um protocolo personalizado enviado por meio do cabeçalho HTTP X-windchill-req, que contém oito caracteres, com o primeiro caractere especificando o comando e os sete restantes correspondendo a um valor fixo.
Comandos suportados pelo web shell Clop WindchillFonte: BleepingComputer
O web shell oferece suporte aos seguintes comandos:
S – Roubar segredos e configuração do Windchill: lê a configuração LDAP do Windchill e usa a função WTKeyStoreUtil.decryptProperty() do próprio aplicativo para descriptografar a senha do gerenciador LDAP e outros dados criptografados do aplicativo.
L – Mapear o cofre de arquivos do Windchill: pesquisa nomes de arquivos, caminhos de armazenamento e tamanhos de arquivos no banco de dados do Windchill. Os resultados são gravados em um arquivo chamado flst.txt, que pode então ser recuperado pelos invasores usando o comando G.
D – Enumerar diretórios e recuperar arquivos: enumera caminhos fornecidos e lê partes de arquivos.
G – Ler um arquivo: recupera o conteúdo de um arquivo especificado.
R – Excluir um arquivo: Exclui um arquivo especificado.
J – Carregar e executar código Java adicional: passa um arquivo ZIP codificado em Base64 e carrega o bytecode Java compilado diretamente na memória e o executa dentro do processo do Windchill.
O – Identificar o sistema operacional: Retorna o nome do sistema operacional.
E – Ecoar dados fornecidos: ecoa dados no cabeçalho X-windchill-prm para verificar se o webshell está respondendo.
A ReliaQuest diz que a enumeração do vault do web shell também foi projetada especificamente para consultar determinadas tabelas no banco de dados do Windchill.
A empresa de segurança cibernética ReliaQuest analisou o web shell depois que se acredita que ele tenha sido implantado em recentes ataques de roubo de dados explorando CVE-2026-12569, uma vulnerabilidade crítica de execução remota de código que afeta o PTC Windchill.
A ReliaQuest diz que o implante não é um web shell genérico reaproveitado para os ataques, mas foi construído com conhecimento detalhado das APIs internas do Windchill, esquema de banco de dados, armazenamento de chaves e estrutura de cofre de arquivos.
“Esta parece ser uma evolução específica da aplicação do manual de exploração em massa estabelecido pelo Clop”, disse ReliaQuest em um relatório compartilhado com o BleepingComputer.
Os pesquisadores dizem que encontraram o web shell durante o processo de coleta de inteligência.
Os pesquisadores dizem que a atividade provavelmente está vinculada ao Clop com base em e-mails de extorsão contendo endereços usados no site de vazamento de dados da gangue de ransomware, cabeçalhos X-windchill-req observados anteriormente também usados no web shell e TTps comumente usados pelos atores da ameaça.
A gangue de extorsão Clop tem um longo histórico de violação de plataformas empresariais em ataques de roubo de dados, com campanhas anteriores visando servidores de compartilhamento de arquivos Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo e MOVEit Transfer, este último afetando mais de 2.770 organizações em todo o mundo.
E-mail de extorsão ClopFonte: Ransom-ISAC
Conforme relatado pelo BleepingComputer em julho, Clop teve como alvo servidores PTC Windchill e FlexPLM expostos em uma campanha de extorsão de roubo de dados envolvendo a exploração de CVE-2026-12569 e a implantação de shells da web JSP.
Na época, a ReliaQuest disse que a atribuição não foi confirmada, mas os ataques compartilhavam semelhanças com campanhas anteriores de roubo de dados do Clop visando aplicativos seguros de compartilhamento de arquivos.
Posteriormente, o Ransom-ISAC confirmou a atividade do Clop associada aos ataques, incluindo e-mails de extorsão enviados a centenas de funcionários das organizações afetadas e contendo as informações de contato mais recentes da gangue.
A PTC começou a lançar correções para CVE-2026-12569 em 17 de junho, e a CISA posteriormente adicionou a vulnerabilidade ao seu catálogo de vulnerabilidades exploradas conhecidas após avisos de aumento de atividade de ameaça.
Um web shell desenvolvido especificamente para o Windchill
A análise da ReliaQuest e BleepingComputer confirma que a ferramenta foi projetada para atingir servidores Windchill, em vez de atuar como um web shell genérico.
O malware é um web shell JavaServer Pages (JSP) que importa diretamente classes específicas do Windchill, incluindo MethodContext, WTConnection e WTKeyStoreUtil.
Essas classes permitem que o shell use as próprias funções do Windchill para acessar seu banco de dados, descriptografar credenciais armazenadas e localizar arquivos armazenados em cofres de aplicativos.
“O web shell se conecta ao banco de dados do Windchill por meio das próprias classes MethodContext e WTConnection do aplicativo, o que significa que suas consultas são executadas sob a identidade do banco de dados existente do aplicativo, em vez de por meio de uma conta de invasor configurada separadamente”, explica ReliaQuest.
“Como resultado, a telemetria do banco de dados pode atribuir essa atividade à identidade normal do serviço do aplicativo, limitando o valor dos alertas que dependem exclusivamente da detecção de novas contas ou hosts de origem inesperados”.
O web shell é controlado por meio de um protocolo personalizado enviado por meio do cabeçalho HTTP X-windchill-req, que contém oito caracteres, com o primeiro caractere especificando o comando e os sete restantes correspondendo a um valor fixo.
Comandos suportados pelo web shell Clop WindchillFonte: BleepingComputer
O web shell oferece suporte aos seguintes comandos:
S – Roubar segredos e configuração do Windchill: lê a configuração LDAP do Windchill e usa a função WTKeyStoreUtil.decryptProperty() do próprio aplicativo para descriptografar a senha do gerenciador LDAP e outros dados criptografados do aplicativo.
L – Mapear o cofre de arquivos do Windchill: pesquisa nomes de arquivos, caminhos de armazenamento e tamanhos de arquivos no banco de dados do Windchill. Os resultados são gravados em um arquivo chamado flst.txt, que pode então ser recuperado pelos invasores usando o comando G.
D – Enumerar diretórios e recuperar arquivos: enumera caminhos fornecidos e lê partes de arquivos.
G – Ler um arquivo: recupera o conteúdo de um arquivo especificado.
R – Excluir um arquivo: Exclui um arquivo especificado.
J – Carregar e executar código Java adicional: passa um arquivo ZIP codificado em Base64 e carrega o bytecode Java compilado diretamente na memória e o executa dentro do processo do Windchill.
O – Identificar o sistema operacional: Retorna o nome do sistema operacional.
E – Ecoar dados fornecidos: ecoa dados no cabeçalho X-windchill-prm para verificar se o webshell está respondendo.
A ReliaQuest diz que a enumeração do vault do web shell também foi projetada especificamente para consultar determinadas tabelas no banco de dados do Windchill.
#samirnews #samir #news #boletimtec #error #500 #(erro #do #servidor)!!1500.isto #é #um #erro.ocorreu #um #erro. #tente #novamente #mais #tarde.isto #é #tudo #que #sabemos.
💡 Compartilhe e ajude nosso projeto a crescer!
Postar um comentário