Clop usa web shell avançado para roubar dados do PTC Windchi

O que aconteceu?

A ReliaQuest analisou um web shell JSP desenvolvido especificamente para o PTC Windchill, plataforma utilizada por empresas para gerenciamento do ciclo de vida de produtos, projetos e informações técnicas.

Segundo os pesquisadores, o malware é implantado depois da exploração da:

CVE-2026-12569

A falha permite execução remota de código sem autenticação em versões vulneráveis do PTC Windchill PDMLink e FlexPLM. A PTC classifica a vulnerabilidade como crítica e orienta clientes a aplicar imediatamente as correções disponíveis.

A CISA também registrou posteriormente evidências de exploração ativa da vulnerabilidade.

O que é um web shell?

Um web shell é um arquivo malicioso colocado dentro de um servidor web para permitir que o atacante continue controlando o sistema remotamente.

Em ataques convencionais, ele normalmente oferece funções como:

execução de comandos;
upload de arquivos;
download de arquivos;
acesso ao sistema.

O implante analisado pela ReliaQuest vai além.

Ele foi desenvolvido especificamente para compreender a estrutura interna do Windchill e utilizar as próprias APIs, banco de dados e mecanismos de armazenamento da aplicação.

Em termos simples

Em vez de o invasor precisar explorar o servidor manualmente depois de conseguir acesso, o web shell já possui ferramentas prontas para:

roubar credenciais → localizar arquivos importantes → selecionar dados → transferir informações → carregar novos códigos maliciosos.

Isso reduz significativamente o tempo necessário entre o comprometimento inicial e o roubo dos dados.

Web shell consegue descriptografar credenciais

Uma das funções mais preocupantes identificadas pela ReliaQuest permite extrair credenciais armazenadas pelo próprio Windchill.

O web shell possui um comando identificado como:

Quando acionado, ele utiliza uma função interna chamada:

para acessar configurações da aplicação e recuperar informações protegidas.

Credenciais que podem ser recuperadas

Segundo a análise, o processo consegue:

acessar o arquivo ieStructProperties.txt;
descriptografar a senha do gerente LDAP;
descriptografar credenciais administrativas;
recuperar credenciais de armazenamento;
recuperar chaves administrativas armazenadas pela aplicação.

O resultado pode ser entregue ao atacante em texto claro.

Esse ponto é particularmente grave porque credenciais LDAP podem ter acesso a outros serviços corporativos.

Comprometimento pode ultrapassar o servidor Windchill

O roubo das credenciais não necessariamente limita o ataque ao servidor inicialmente comprometido.

Se uma credencial utilizada pelo Windchill também possuir acesso a:

Active Directory;
servidores de arquivos;
bancos de dados;
VPN;
sistemas internos;
outros serviços corporativos;

o atacante pode tentar utilizá-la para avançar dentro da rede.

Por isso, a ReliaQuest alerta que um comprometimento do Windchill pode evoluir para um comprometimento mais amplo de identidade e infraestrutura corporativa.

Malware mapeia arquivos antes de roubá-los

O web shell também contém recursos específicos para localizar informações armazenadas nos chamados vaults do Windchill.

Esses repositórios podem conter dados de alto valor, como:

desenhos técnicos;
arquivos de engenharia;
documentos de produtos;
especificações;
projetos;
propriedade intelectual.

Uma função chamada:

utiliza a classe:

Flst1

para consultar o banco de dados da aplicação.

O malware cria um mapa dos dados

Segundo a ReliaQuest, as consultas coletam informações como:

identificador do arquivo;
nome;
localização;
tamanho.

Os resultados são armazenados em:

flst.txt

Esse arquivo funciona praticamente como um catálogo dos dados disponíveis, permitindo que os operadores selecionem rapidamente aquilo que desejam exfiltrar.

Ataque utiliza a própria conexão do Windchill com o banco

Outro detalhe importante é a forma como essas consultas são executadas.

O web shell utiliza classes internas do próprio Windchill, incluindo:

MethodContext

WTConnection

Com isso, as consultas ao banco são realizadas utilizando a identidade de banco de dados que a própria aplicação já utiliza.

Por que isso dificulta a detecção?

Uma ferramenta de monitoramento pode observar que:

Windchill está consultando seu próprio banco de dados.

Isso, isoladamente, parece normal.

O problema é que o atacante está executando consultas maliciosas utilizando exatamente o mesmo contexto da aplicação.

Por isso, controles que procuram apenas:

novas contas;
IPs desconhecidos;
conexões externas ao banco;

podem não detectar essa atividade.

Código Java pode ser executado diretamente na memória

O web shell também possui um Java Class Loader personalizado, chamado:

Cldr

Esse componente aceita um arquivo ZIP codificado em Base64 contendo bytecode Java e consegue carregá-lo diretamente na memória do processo.

Na prática, os operadores podem adicionar novas funcionalidades sem precisar alterar o web shell principal.

Novos componentes podem ser carregados

Tecnicamente, esse mecanismo poderia ser utilizado para adicionar capacidades como:

movimentação lateral;
persistência adicional;
novas ferramentas de coleta;
malware adicional;
ferramentas de propagação;
ransomware.

A ReliaQuest cita essas possibilidades como capacidades de pós-exploração permitidas pela arquitetura do implante, e não como confirmação de que todas tenham sido executadas em cada vítima.

Execução em memória reduz os rastros

O código enviado pelo atacante pode ser carregado diretamente na memória do processo Java.

Isso significa que determinados componentes adicionais não precisam necessariamente ser gravados no disco.

Esse tipo de execução reduz a quantidade de artefatos disponíveis para ferramentas baseadas apenas em monitoramento de arquivos.

Por isso, a detecção precisa considerar também:

memória;
comportamento do processo;
requisições HTTP;
atividade do banco de dados;
conexões de rede.

Comandos são escondidos em cabeçalhos HTTP

A comunicação com o web shell utiliza um cabeçalho HTTP personalizado:

X-windchill-req

Em vez de colocar os comandos em parâmetros óbvios na URL ou no corpo da requisição, os operadores podem utilizar esse cabeçalho para transmitir instruções.

Além disso, as respostas são comprimidas utilizando:

GZIP

Por que isso importa?

Ferramentas que analisam apenas:

URL;
parâmetros;
corpo da requisição;

podem não enxergar o comando.

Se o tráfego estiver utilizando HTTPS e não houver inspeção TLS, o conteúdo também ficará protegido pela criptografia da conexão.

A ReliaQuest afirma que uma cobertura mais completa exige correlação entre logs HTTP, cabeçalhos personalizados, respostas e outros dados de aplicação.

Ligação com o grupo Clop

A ReliaQuest avalia como altamente provável que a atividade esteja associada ao grupo de extorsão Clop, também conhecido como Cl0p.

Entre as evidências citadas estão:

endereços de contato presentes em mensagens de extorsão que correspondem aos utilizados pelo Clop;
uso do cabeçalho X-windchill-req, associado anteriormente à campanha;
semelhança com o histórico operacional do grupo.

A atribuição deve ser apresentada com essa ressalva.

A ReliaQuest não afirma possuir prova absoluta de autoria; sua avaliação é de alta probabilidade.

Clop possui histórico de ataques semelhantes

O grupo é conhecido por explorar vulnerabilidades em softwares empresariais que armazenam grande quantidade de informações.

A ReliaQuest compara a campanha atual a operações anteriores nas quais o Clop utilizou web shells específicos para a aplicação comprometida.

Entre os exemplos estão:

DEWMODE, associado à exploração do Accellion FTA;
LEMURLOOT, utilizado durante ataques contra MOVEit Transfer.

O padrão é semelhante:

vulnerabilidade em software corporativo → exploração em larga escala → web shell personalizado → roubo de dados → extorsão.

Qual vulnerabilidade está sendo explorada?

A campanha está relacionada principalmente à:

CVE-2026-12569

A PTC descreve o problema como uma vulnerabilidade crítica que pode permitir a execução remota de código por um usuário não autorizado.

O NVD registra:

CVSS 4.0 da PTC: 9,3 — Crítica

CVSS 3.1 do NVD: 9,8 — Crítica.

A vulnerabilidade envolve processamento inseguro de dados não confiáveis e pode ser explorada remotamente sem interação do usuário.

Como se proteger?

A primeira medida é instalar os patches disponibilizados pela PTC.

A fabricante mantém uma página específica com atualizações e orientações para as versões afetadas do Windchill e FlexPLM.

Procurar web shells JSP

A ReliaQuest recomenda inspecionar diretórios do Windchill, principalmente:

windchill/codebase/login/

e outros diretórios de código da aplicação.

Devem ser investigados arquivos JSP:

desconhecidos;
criados recentemente;
modificados fora de uma janela de manutenção;
contendo referências a X-windchill-req;
utilizando MethodContext;
utilizando WTConnection;
utilizando WTKeyStoreUtil.

Trocar credenciais armazenadas

Se houver suspeita de comprometimento, aplicar o patch não é suficiente.

Como o implante consegue descriptografar credenciais armazenadas no keystore, a ReliaQuest recomenda assumir que esses segredos podem ter sido roubados.

Isso inclui principalmente:

credencial LDAP;
contas administrativas;
credenciais de armazenamento;
segredos reutilizados em outros serviços.

Essas credenciais devem ser rotacionadas também nos sistemas onde estiverem sendo reutilizadas.

Indicadores de comprometimento

A ReliaQuest publicou indicadores relacionados à campanha.

Hash do web shell

321e1fb01eb3462b48ff6ccdef132acc1182e3f7456548439f0d4ead12fd98bf

Endereços IP associados à exploração

5.180.41[.]35

78.128.113[.]10

104.194.9[.]14

104.243.35[.]63

185.227.83[.]236

209.222.98[.]44

216.152.151[.]204

Esses indicadores devem ser utilizados em conjunto com análise de logs e comportamento, pois infraestrutura utilizada por atacantes pode mudar rapidamente.

Análise Técnica CyberX

O web shell foi criado para entender o alvo

O ponto mais relevante desta campanha é que não estamos diante de um web shell genérico.

O implante possui conhecimento específico sobre:

APIs do Windchill;
banco de dados;
keystore;
vaults;
classes Java internas.

Isso indica uma preparação voltada diretamente para a aplicação alvo.

Do ponto de vista defensivo, isso torna a ameaça mais perigosa porque o atacante não precisa descobrir manualmente onde estão os dados importantes.

O próprio malware já sabe onde procurar.

A aplicação vira ferramenta do atacante

Outro aspecto importante é que várias ações são realizadas através das próprias funcionalidades internas do Windchill.

O banco é consultado através da conexão legítima da aplicação.

As credenciais são descriptografadas utilizando mecanismos do próprio sistema.

Os arquivos são encontrados utilizando a estrutura interna do vault.

Isso cria um cenário difícil para ferramentas de detecção:

a atividade é maliciosa, mas parte dela se parece tecnicamente com uma atividade normal do Windchill.

O risco maior pode estar nas credenciais

O roubo de desenhos técnicos e propriedade intelectual já representa um impacto grave.

Mas o acesso às credenciais armazenadas pode transformar o comprometimento de um único servidor em algo muito maior.

Se uma conta LDAP roubada possuir privilégios elevados ou estiver reutilizada em outros ambientes, o ataque pode avançar para:

Windchill → credenciais → Active Directory → servidores internos → novos dados.

Por isso, resposta a incidente precisa ir além da remoção do arquivo JSP.

Patch não remove um invasor existente

Esse ponto é fundamental.

Aplicar a correção impede novas explorações através da CVE.

Porém, se o web shell já estiver instalado, o invasor pode continuar com acesso mesmo depois da atualização.

Em um servidor anteriormente exposto e vulnerável, a sequência correta deve ser:

aplicar a correção;
procurar evidências de exploração;
localizar web shells;
revisar logs;
rotacionar credenciais;
verificar movimentação lateral;
analisar possíveis exfiltrações.

Sistemas PLM precisam ser tratados como ativos críticos

Plataformas como Windchill podem concentrar informações extremamente sensíveis de uma empresa.

Dependendo da organização, isso pode incluir:

projetos ainda não lançados;
especificações industriais;
propriedade intelectual;
lista de materiais;
documentação de fabricação;
arquivos CAD;
informações de fornecedores.

Para indústrias, fabricantes e empresas de engenharia, comprometer o PLM pode significar acessar parte relevante do conhecimento técnico da organização.

Recomendação CyberX

A CyberX recomenda que organizações com PTC Windchill ou FlexPLM façam duas verificações separadas:

Vulnerabilidade

Confirmar:

versão instalada;
status do patch;
exposição à internet;
presença da CVE-2026-12569.

Comprometimento

Investigar:

arquivos JSP inesperados;
referências a X-windchill-req;
criação de flst.txt;
grandes transferências de dados;
consultas incomuns nos vaults;
acessos suspeitos usando credenciais LDAP;
alterações de arquivos após a exploração.

Essa separação é importante porque:

“o servidor está corrigido” não significa necessariamente “o servidor nunca foi comprometido”.

Conclusão

A campanha ligada ao Clop demonstra uma evolução importante nos ataques contra softwares empresariais.

Segundo a ReliaQuest, o grupo não está utilizando apenas uma ferramenta genérica para manter acesso. O web shell foi construído especificamente para o PTC Windchill e possui capacidade integrada para descriptografar credenciais, localizar arquivos de engenharia, transferir dados e carregar novos códigos diretamente na memória.

A CVE-2026-12569 já possui exploração ativa confirmada e correções oficiais disponibilizadas pela PTC.

Para organizações potencialmente expostas, portanto, a prioridade não deve ser apenas instalar o patch.

É necessário verificar se o invasor já entrou, se deixou persistência e se credenciais ou propriedade intelectual foram roubadas antes da correção.

Fontes e referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 19 de agosto de 2026 e validada com a investigação técnica original da ReliaQuest, o boletim oficial da PTC e os dados da NVD/CISA sobre a CVE-2026-12569.

CyberX I.T Solutions — Cybersecurity Intelligence

AVALIE ESTE CONTEÚDO

Esta análise foi útil?

Ainda não há avaliações.

Clop usa web shell avançado para roubar dados do PTC Windchill