Im Zentrum der aktuellen Angriffe steht CVE-2026-12569 mit einem CVSS-Wert von 9,3. Die Schwachstelle beruht auf unzureichender Eingabevalidierung und kann es einem Angreifer ermöglichen, durch eine präparierte Netzwerkanfrage beliebigen Code auszuführen. Nach Angaben von ReliaQuest wird die Lücke genutzt, um die JSP-Web-Shell auf betroffenen Systemen zu platzieren.
ReliaQuest zufolge geht das Werkzeug weit über generische Kommando-Shells oder verbreitete Open-Source-Varianten hinaus. Statt nur grundlegende Befehlsausführung und dauerhaften Zugriff zu ermöglichen, bringe die Web-Shell anwendungsspezifische Funktionen für Windchill und FlexPLM mit. Sie könne sensible Vault-Daten erfassen, Zugangsdaten aus dem Windchill-Keystore entschlüsseln und zusätzlichen Schadcode direkt im Speicher nachladen und ausführen.
Besonders auffällig ist laut dem Bericht ein einzelner Befehl mit der Bezeichnung „S“. Dieser liefere Windchills Verzeichnisverwaltungs- und Administrationszugänge im Klartext, indem er eine eingebaute Funktion namens „gs“ nutzt. Bei einer aktiven Kompromittierung könne derselbe Befehl auch die Zugangsdaten extrahieren, die zur Verwaltung des LDAP-Verzeichnisses einer Organisation verwendet werden. Ein separater Befehl diene anschließend dazu, die Ergebnisse abzuziehen.
ReliaQuest warnt, dass offengelegte LDAP-Zugangsdaten besonders weitreichend sein können. Da solche Konten typischerweise den Zugriff auf Active Directory, E-Mail-Systeme, VPN und weitere an die Verzeichnisanmeldung gebundene Unternehmensdienste steuern, könne aus der Kompromittierung einer einzelnen Anwendung eine unternehmensweite Kompromittierung von Zugangsdaten werden. Der so erreichte privilegierte Zugriff erleichtere wiederum Datendiebstahl aus weiteren Anwendungen und Speicherorten sowie Persistenz für Folgeangriffe.
Die Web-Shell kann zudem angreiferseitig bereitgestellten Code direkt im Speicher ausführen. Dieser sekundäre Nutzcode wird laut ReliaQuest als Base64-kodierte ZIP-Datei mit kompiliertem Java-Bytecode angeliefert, unmittelbar in den Speicher geladen und dort ausgeführt. Das eröffnet einen Weg, bei Bedarf weitere Werkzeuge für langfristige Persistenz, Bewegung durchs Netzwerk oder Datenverschlüsselung nachzuladen.
Die Forscher John Dilgen und Connor Short bewerten das Implantat als anwendungsspezifische Weiterentwicklung des bekannten Massenangriffs-Modells von Cl0p. Es enthalte detailliertes Wissen über die APIs der Anwendung, das Datenbankschema, den Keystore und die Dateivault-Struktur. Dadurch könnten Angreifer schnell vom Erstzugang zum Datendiebstahl übergehen, ohne externe Befehle oder zusätzliche Werkzeuge einsetzen zu müssen. Verweise auf „Clop“ im Code stützten diese Zuordnung nach Einschätzung der Forscher mit hoher Wahrscheinlichkeit.
Weil die angegriffenen Anwendungen Konstruktionsdaten und Produktentwürfe speichern, kann eine erfolgreiche Kompromittierung laut ReliaQuest den Zugriff auf proprietäre Daten der Opfer ermöglichen. Hinzu kommen sensible Zugangsdaten, die sich für seitliche Bewegung ins Netzwerk und den Zugriff auf weitere Systeme missbrauchen lassen.
Neu ist der Ansatz für Clop nicht grundsätzlich. Die Gruppe wurde bereits früher dabei beobachtet, nach der Ausnutzung von SQL-Injection-Schwachstellen in Accellion mit CVE-2021-27101 und in MOVEit Transfer mit CVE-2023-34362 die maßgeschneiderten Web-Shells DEWMODE beziehungsweise LEMURLOOT abzulegen. ReliaQuest sieht auch die aktuelle Kampagne als Hinweis darauf, dass Clop weiterhin gezielt nach Schwachstellen in Software sucht, die besonders sensible Daten verarbeitet.