ReliaQuest verknüpft die Aktivität mit Clop, stützt die Zuordnung aber auf mehrere Indizien: Erpressungs-E-Mails mit Adressen, die auf der Datenleck-Seite der Gruppe verwendet werden, bereits früher beobachtete X-windchill-req-Header, die auch in der Web-Shell auftauchen, sowie Taktiken, Techniken und Verfahren, die den Akteuren zugeschrieben werden. Die Forscher fanden die Web-Shell nach eigenen Angaben im Rahmen ihrer Informationsgewinnung.
Clop ist für Datendiebstahl-Kampagnen gegen Unternehmensplattformen bekannt. Im Quelltext werden frühere Kampagnen gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer genannt; letztere betraf nach Angaben der Vorlage mehr als 2.770 Organisationen weltweit. Wie BleepingComputer bereits im Juli berichtete, zielte Clop auch auf exponierte PTC-Windchill- und FlexPLM-Server und kombinierte dabei die Ausnutzung von CVE-2026-12569 mit dem Einsatz von JSP-Web-Shells. Damals galt die Zuordnung laut ReliaQuest noch als unbestätigt. Später bestätigte Ransom-ISAC Clop-Aktivitäten im Zusammenhang mit den Angriffen, darunter Erpressungs-E-Mails an Hunderte Beschäftigte betroffener Organisationen mit den neuesten Kontaktinformationen der Gruppe.
Technisch handelt es sich um eine JavaServer-Pages-Web-Shell, die direkt Windchill-spezifische Klassen importiert, darunter MethodContext, WTConnection und WTKeyStoreUtil. Nach Analyse von ReliaQuest und BleepingComputer wurde das Werkzeug damit klar für Windchill-Server entworfen und nicht als generische Web-Shell. Über diese Klassen kann die Schadsoftware Windchills eigene Funktionen nutzen, um auf die Datenbank zuzugreifen, gespeicherte Zugangsdaten zu entschlüsseln und Dateien in den Anwendungsvaults aufzuspüren.
ReliaQuest beschreibt dabei einen entscheidenden Punkt: Die Web-Shell verbindet sich über die anwendungseigenen Klassen MethodContext und WTConnection mit der Windchill-Datenbank. Dadurch laufen Abfragen unter der bestehenden Datenbank-Identität der Anwendung und nicht über ein separat eingerichtetes Angreiferkonto. Laut ReliaQuest kann die Datenbank-Telemetrie diese Aktivität deshalb der normalen Service-Identität der Anwendung zuschreiben, was Warnungen einschränkt, die ausschließlich auf neue Konten oder unerwartete Quellhosts achten.
Gesteuert wird die Web-Shell über ein benutzerdefiniertes Protokoll im HTTP-Header X-windchill-req. Dieser enthält acht Zeichen: Das erste Zeichen bestimmt den Befehl, die übrigen sieben entsprechen einem festen Wert. ReliaQuest zufolge ist auch die Funktion zur Auflistung der Vault-Inhalte speziell auf Windchill zugeschnitten und fragt bestimmte Tabellen in der Datenbank ab. Nach Analyse von BleepingComputer sind das ApplicationData, FVITEM, FVMOUNT und MasteredOnReplicaItem.
PTC begann am 17. Juni mit der Bereitstellung von Fehlerbehebungen für CVE-2026-12569. Später nahm CISA die Schwachstelle nach Warnungen vor verstärkter Bedrohungsaktivität in den Katalog der bekannten ausgenutzten Schwachstellen auf. ReliaQuest empfiehlt Organisationen, anfällige Windchill-Systeme umgehend zu patchen und in Windchill-Verzeichnissen nach ungewöhnlichen JSP-Dateien zu suchen, insbesondere nach solchen mit Verweisen auf X-windchill-req. Wer eine Kompromittierung seiner Windchill-Server vermutet, sollte zudem das Passwort des LDAP-Managers und andere Windchill-Zugangsdaten ändern, da diese als kompromittiert gelten sollten.