Was ist passiert?
Bedrohungsakteure der Cl0p-Ransomware-Kampagne exploitieren kritische Sicherheitslücken in internetexponierter PTC-Software (Windchill und FlexPLM). Die Angreifer verketten dabei eine Pre-Authentication-Schwachstelle in FlexPLM mit einer serverseitigen Lücke im Windchill-Login-Servlet. Dies ermöglicht unauthentifizierten RCE (Remote Code Execution) und wird für eine neue Datenerpressungskampagne genutzt.
Hintergrund & Bedeutung
Cl0p ist unter mehreren Alias-Namen bekannt (Chubby Scorpius, FIN11, Graceful Spider, Lace Tempest) und zählt zu den aktivsten Ransomware-Gruppen. PTC Windchill und FlexPLM sind weit verbreitete PLM-Systeme (Product Lifecycle Management) in der Fertigungs- und Ingenieurindustrie. Die Kombination dieser Vulnerabilities ermöglicht kritischen unbefugten Zugriff, ohne sich authentifizieren zu müssen. Besonders kritisch ist die Tatsache, dass viele Unternehmen diese Systeme direkt ins Internet exponieren, um Remote-Zugriff für globale Teams zu ermöglichen.
Empfehlungen für IT-Teams
- Sofortmaßnahmen: PTC-Systeme überprüfen und vom Internet isolieren (VPN/Netzwerk-Segmentierung)
- Patches einspielen: Verfügbare Security-Updates für Windchill und FlexPLM sofort applizieren
- Monitoring erhöhen: Logs auf verdächtige Pre-Authentication-Zugriffe analysieren
- Netzwerk-Härtung: Web Application Firewalls (WAF) implementieren
- Backup-Strategie: Backups offline lagern und Test-Restores durchführen
Fazit
Diese Kampagne demonstriert die wachsende Bedrohung durch Cl0p gegen kritische industrielle Systeme. Unternehmen müssen sofort handeln, um exponierte PTC-Instanzen zu sichern und Patches einzuspielen.
Quelle: Original Artikel