Cl0p nennt über 40 Opfer: PTC Windchill Angriff

Die Ransomware-Gang Cl0p hat im Rahmen einer aktuellen Kampagne offenbar mehr als 40 Organisationen als Opfer benannt. Im Fokus steht dabei eine Schwachstelle in den PLM-Plattformen von PTC – konkret in Windchill und FlexPLM. Die Veröffentlichungen geben Einblick in das Vorgehen der Angreifer und in das Ausmaß der angeblichen Datendiebstähle.

Zentral ist dabei der Cl0p Windchill Angriff, der mit der Ausnutzung einer Sicherheitslücke bekannt wurde, die unter der Kennung CVE-2026-12569 geführt wird. Laut den verfügbaren Informationen handelt es sich um eine Schwachstelle, die unter bestimmten Bedingungen die Ausführung von Code ermöglicht – ohne Authentifizierung und aus der Ferne.

Welche Schwachstelle steckt hinter dem Cl0p Windchill Angriff?

Die Ausnutzung der Lücke, CVE-2026-12569, wurde im Juni sichtbar, als sie in die KEV-Liste der US-Behörde CISA aufgenommen wurde. Zudem warnte der Hersteller vor Angriffen, die speziell diese Schwachstelle adressieren.

Technisch wird die Schwachstelle als Problem bei der ordnungsgemäßen Eingabevalidierung beschrieben. Dadurch ist es einem entfernten, nicht authentifizierten Angreifer möglich, durch speziell präparierte Anfragen eine beliebige Codeausführung zu erreichen.

Besonders bemerkenswert: In den vorliegenden Berichten wird CVE-2026-12569 als erste Windchill-Schwachstelle genannt, die jemals in freier Wildbahn ausgenutzt wurde. Das unterstreicht, wie schnell aus einer bekannten Schwäche ein praxisrelevantes Angriffsszenario werden kann.

Wie setzen Cl0p-Akteure die Lücke praktisch um?

Für den Cl0p Windchill Angriff wird beschrieben, dass die Ausnutzung im Zeitraum Ende Juli in der Sicherheitsbranche beobachtet wurde. Dabei sollen Cl0p-Affiliate-Teams die Lücke genutzt haben, um Webshells bereitzustellen. Solche Webshells dienen häufig als Brücke, um später weitere Funktionen innerhalb der betroffenen Systeme auszuführen und Daten abzuschöpfen.

Ein weiterer Aspekt, der in den Berichten hervorgehoben wird: Die Angreifer sollen einen maßgeschneiderten Implant eingesetzt haben, der auf vollständige Diebstahl-Fähigkeit (Full data theft capability) ausgelegt ist – und dafür angeblich keine zusätzlichen Werkzeuge benötigt.

Ein Sicherheitsexperte von ReliaQuest beschreibt dazu Funktionen der Webshell näher: Demnach kann sie sensible Datenbereiche abbilden, Credentials im Windchill-Key-Store entschlüsseln und über einen custom Java class loader weiteren Code im Prozesskontext der Anwendung ausführen. Damit wird die Webshell zu einer Art weitreichendem Hintertür-System, das Folgeaktivitäten wie Seitbewegungen (lateral movement), Ransomware oder Persistenz unterstützen kann.

Vom Teilnamen zur vollständigen Opferliste

Auch die Art der Veröffentlichung fällt auf. Zunächst hatte Cl0p auf der eigenen Website nur unvollständige Firmennamen gelistet. Am 12. August begann die Gruppe dann damit, vollständige Namen angeblicher Opfer zu veröffentlichen.

Bislang werden für die Windchill-Kampagne mehr als 40 Organisationen genannt. Für jedes Opfer wird laut den Berichten zudem aufgeführt, welcher Informationsumfang bzw. welche Datenarten abgeschöpft worden sein sollen.

Diese Offenlegung ist für betroffene Unternehmen vor allem deswegen relevant, weil sie Hinweise auf die angewandten Tat-Mechanismen liefern kann: Welche Daten sind besonders wertvoll, wie wird kategorisiert, und welche Spuren sind zu erwarten.

Welche Daten sollen gestohlen worden sein?

Zu den genannten Datenarten gehören unter anderem Datensätze aus Datenbanken, Projektdateien, Backups, Fotos sowie weitere Bilddateien. Ergänzend werden Engineering-Dokumente, Pläne, Diagramme, Protokolle/Logs und weitere Unternehmensdokumente erwähnt.

Der angegebene Umfang pro Organisation soll zwischen 1 GB und mehreren Terabyte liegen. Damit deutet das Szenario auf eine Kombination aus gezielter Ausleitung und umfangreichem Datenzugriff hin.

Gleichzeitig wird auch darauf hingewiesen, dass ein Teil der kompromittierten Inhalte für Außenstehende möglicherweise weniger wertvoll ist oder bereits öffentlich bekannt ist. Das könnte erklären, warum manche angegriffenen Organisationen möglicherweise keine Lösegeldzahlungen leisten.

Genannte Unternehmen: Beispiele aus verschiedenen Branchen

In der bislang verfügbaren Opferliste werden unter anderem Firmen aus sehr unterschiedlichen Bereichen genannt. Dazu zählen beispielsweise Shell, Philips, Fiserv, Zebra Technologies, Ingersoll Rand, Toast, Mindray sowie Largan Precision (als Lieferant von Apple-Kameraobjektiven).

Auch GE wurde zunächst genannt, ist jedoch später aus der Veröffentlichung entfernt worden. In den Berichten wird dies als möglicher Hinweis gewertet, dass das Unternehmen entweder eine Vereinbarung getroffen hat oder die Verhandlungen wieder aufgenommen wurden. Eine verlässliche Bestätigung gibt es dafür allerdings nicht.

Wie reagieren Unternehmen und warum ist die Lage unklar?

Mehrere der genannten Organisationen erklärten, dass sie die Ansprüche zur Kenntnis genommen haben und Untersuchungen durchführen. Allerdings wird in den verfügbaren Informationen festgehalten, dass keine der genannten Firmen einen signifikanten Datenabfluss bestätigt hat.

Das ist bei solchen Veröffentlichungen typisch: Eine Opferliste kann sowohl aus tatsächlichen kompromittierten Systemen als auch aus strategischen Behauptungen bestehen. Für Unternehmen bedeutet das: Es ist wichtig, die eigene Lage anhand technischer Beweise zu prüfen – beispielsweise durch Log-Analysen, forensische Untersuchungen und Abgleich der betroffenen Anwendungen.

Warum der Angriff auch strategisch gefährlich ist

Der Cl0p Windchill Angriff steht nicht allein. In den Berichten wird außerdem erwähnt, dass Cl0p bereits zuvor ähnliche Kampagnen durchgeführt hat, die auf Schwachstellen in anderen weit verbreiteten Unternehmenslösungen abzielten – etwa im Umfeld von Oracle E-Business Suite, sowie bei MOVEit, Cleo und GoAnywhere.

Diese Muster sprechen dafür, dass die Gruppe Schwachstellen konsequent in Datenabfluss-Mechanismen übersetzt. Werden solche Lücken früh bekannt und bleiben Patches aus, steigt die Wahrscheinlichkeit, dass Angriffe schnell skalieren.

Was Organisationen jetzt tun sollten

Auch wenn die konkreten Folgen je nach System unterschiedlich sein können, lässt sich aus dem beschriebenen Vorgehen ein klarer Handlungsrahmen ableiten:

• Exposition prüfen: Prüfen, ob Windchill oder FlexPLM im eigenen Umfeld aktiv sind und ob die Umgebung die betroffene Oberfläche bereitstellt.
• Patches und Updates priorisieren: Da es sich um eine als kritisch eingestufte Schwachstelle handelt, sollte die Behebung vorrangig behandelt werden.
• Spuren kontrollieren: Achten Sie auf Indikatoren, die zu Webshells oder ungewöhnlichen Prozess-/Code-Aktivitäten passen.
• Incident-Response starten: Sobald Hinweise auf Kompromittierung vorliegen, sollten forensische Schritte und die Bewertung der Datenlage zügig erfolgen.

Je schneller diese Punkte abgearbeitet werden, desto geringer ist das Risiko, dass aus einem Initialzugriff ein breiter Datendiebstahl wird.

Fazit

Die Veröffentlichung von mehr als 40 angeblichen Opfern zeigt, wie konsequent die Angreifer den Cl0p Windchill Angriff offenbar in eine Datenabfluss-Kampagne übersetzen. Ausgangspunkt ist CVE-2026-12569, eine Schwachstelle in Windchill/FlexPLM, die dem Angriff durch entfernte, nicht authentifizierte Codeausführung Tür und Tor öffnet.

Da jedoch mehrere betroffene Unternehmen bisher keinen signifikanten Datenabfluss bestätigt haben, bleibt die Lage differenziert. Klar ist aber: Wer Windchill oder FlexPLM betreibt, sollte die Sicherheitslage rund um CVE-2026-12569 als Priorität behandeln und die Umgebung gezielt absichern.

Quelle: https://www.securityweek.com/cl0p-ransomware-group-names-over-40-victims-of-ptc-windchill-campaign/