Des chercheurs de ReliaQuest ont mis au jour une JSP Windchill conçue sur mesure pour l’écosystème PTC Windchill et FlexPLM. Cette web shell, déployée à la suite de l’exploitation d’une faille critique, ne se contente pas d’exécuter des commandes : elle vise surtout à obtenir rapidement des informations sensibles, déchiffrer des identifiants et préparer des actions post-exploitation.
Selon les observations, l’implant agit comme une plateforme d’accès à distance orientée extorsion, avec des capacités de cartographie de données et de vol à grande échelle. Elle s’appuie sur une logique adaptée aux composants internes de l’application, ce qui renforce l’efficacité de l’attaque et complique la détection.
Une web shell pensée pour les logiciels PLM
La découverte concerne une web shell écrite en JavaServer Pages (JSP) spécifiquement alignée sur les logiciels de Product Lifecycle Management (PLM). Autrement dit, au lieu d’utiliser un module générique, l’outil semble construit pour interagir directement avec l’application ciblée et avec ses mécanismes internes.
ReliaQuest décrit l’implant comme un « ensemble complet » destiné à l’extorsion. L’objectif : cartographier des informations stockées dans des zones protégées, déchiffrer les identifiants présents dans le keystore de Windchill, puis lancer du code additionnel pour poursuivre l’intrusion.
Dans la pratique, cette approche permet de passer plus vite de l’accès initial au vol de données, puis à des activités comme le déplacement latéral, la persistance et même la préparation d’attaques de type ransomware.
Exploitation de la faille CVE-2026-12569
La diffusion de la web shell intervient après la compromission de serveurs vulnérables. Dans ce cas précis, l’attaque suit la weaponization (mise en arme) de CVE-2026-12569, associée à une validation incorrecte des entrées.
D’après les éléments partagés, l’anomalie pourrait permettre à un attaquant d’exécuter du code arbitraire en envoyant une requête malveillante au réseau. Le score CVSS indiqué est 9.3, ce qui traduit un niveau de criticité élevé.
Des avis publiés par Ransom-ISAC, en collaboration avec eCrime.ch et Defused, attribuent la campagne à Clop (aussi connu sous « Cl0p »). L’hypothèse s’appuie notamment sur le dépôt de web shells JSP sur des systèmes exposés à la vulnérabilité.
Pourquoi cette JSP Windchill est plus dangereuse que des shells génériques
Les acteurs malveillants ont l’habitude de conserver un accès à distance après une intrusion, souvent via des web shells « légers » ou réutilisant des variantes connues (par exemple Behinder ou China Chopper). Ces outils servent fréquemment à lancer des commandes et à maintenir un point d’entrée.
Or, la JSP Windchill décrite ici va plus loin : elle est conçue pour tirer parti des secrets de l’application, notamment en déchiffrant des identifiants, en récupérant des éléments structurants et en préparant l’exfiltration.
ReliaQuest souligne un point clé : contrairement à de simples interfaces de commande, l’implant peut décrypter des identifiants, livrer des charges utiles et cartographier les fichiers stockés afin de faciliter l’exfiltration, sans exiger d’outillage supplémentaire.
Connaissance interne de l’application : APIs, schémas et keystore
Les chercheurs expliquent que l’outil semble intégrer une connaissance détaillée des APIs de l’application, de sa structure de base de données, de son keystore et du schéma lié aux « fichiers-vault ». Cette compréhension permet une progression rapide : accès aux données, vol d’identifiants, puis mouvement dans l’environnement.
Autre signe mentionné : des références à « Clop » dans le contenu de l’implant, ce qui renforce la probabilité d’attribution à ce groupe. Les chercheurs John Dilgen et Connor Short indiquent aussi que l’outil reprend un modèle connu du « playbook » massif de Cl0p, mais adapté pour cibler spécifiquement des instances vulnérables de Windchill et de FlexPLM.
Commande « S » : déchiffrement et récupération de comptes
Un élément particulièrement marquant est la présence d’une commande unique, notée « S », qui permettrait de récupérer des informations de gestion et d’administration, en clair. Le mécanisme s’appuierait sur une fonction interne nommée gs, qui exécute plusieurs étapes.
- Lecture du fichier de configuration ieStructProperties.txt de Windchill.
- Déchiffrement du mot de passe du gestionnaire LDAP depuis le keystore de l’application.
- Itération sur toutes les propriétés locales stockées, avec déchiffrement de valeurs supplémentaires, incluant des identifiants de comptes administratifs, des informations liées au stockage d’objets et les clés des administrateurs de site.
En cas de compromission active, la commande « S » pourrait également extraire les identifiants utilisés pour gérer l’annuaire LDAP de l’organisation. Ensuite, une autre commande sert à exfiltrer les résultats.
Exposition d’identifiants LDAP : risque “entreprise entière”
ReliaQuest met en garde sur l’impact potentiel : les identifiants LDAP pilotent souvent des accès à Active Directory, mais aussi à des systèmes comme la messagerie, les VPN et d’autres services d’entreprise liés à l’authentification.
Si ces identifiants sont exposés, une compromission initiale d’une application peut évoluer vers un problème d’identifiants à l’échelle organisationnelle. Les privilèges ainsi obtenus alimentent ensuite le vol de données dans d’autres applications et emplacements de stockage, tout en contribuant à la persistance pour les attaques suivantes.
Exécution de code en mémoire et chargements secondaires
La web shell offre aussi une capacité d’exécution de code en mémoire. Autrement dit, elle peut charger des charges utiles supplémentaires à la demande, ce qui aide à déployer des composants orientés persistance, exploration réseau ou chiffrement des données.
La charge décrite prend la forme d’un contenu Base64 encapsulant un fichier ZIP contenant du code Java compilé. Ce contenu serait chargé directement dans la mémoire puis exécuté.
Cette flexibilité rend l’implant plus difficile à réduire à un simple outil de prise de contrôle : elle devient une plateforme capable de s’adapter au moment de l’intrusion.
Objectifs : énumération du coffre-fort et requêtes via l’identité de la base
Parmi les fonctions embarquées, les chercheurs citent notamment une capacité d’énumération du vault. L’idée est de cibler la base de l’application afin d’identifier des données d’ingénierie à forte valeur sans devoir réaliser une découverte manuelle via des commandes explicites.
Le rapport mentionne aussi des mécanismes d’exécution de requêtes en s’appuyant sur l’identité déjà présente dans Windchill (au lieu de créer un nouveau compte contrôlé par l’attaquant). L’avantage recherché : réduire la visibilité des actions dans les traces forensiques.
En combinant ces éléments, l’implant se rapproche davantage d’un « mécanisme interne » qui mène la découverte et l’accès aux identifiants depuis le processus de l’application.
Une évolution spécifique et une furtivité accrue
ReliaQuest qualifie l’ensemble d’approche comme un moyen d’imiter les fonctions normales de Windchill. En utilisant les connexions de base de données existantes et en s’intégrant aux échanges habituels, l’implant cherche à se fondre dans le trafic applicatif.
Les chercheurs insistent sur un résultat opérationnel : les défenseurs auraient plus de difficulté à détecter la manœuvre, car elle reproduit des comportements légitimes de l’application plutôt que d’adopter uniquement des signatures classiques de web shells.
Un schéma récurrent : des web shells personnalisées par campagne
Ce n’est pas la première fois que Clop déploie des web shells conçues sur mesure. Des précédents ont été observés lors d’exploitations d’autres logiciels vulnérables, notamment contre des plateformes de transfert de fichiers.
Le rapport mentionne notamment l’apparition de DEWMODE et LEMURLOOT après l’exploitation de vulnérabilités liées à Accellion (CVE-2021-27101) et MOVEit Transfer (CVE-2023-34362). Cette répétition suggère une stratégie : lorsque l’opportunité d’extorsion massive se présente, le groupe active des implants adaptés à la technologie en face.
Conclusion : une compromission applicative qui ouvre la voie
La JSP Windchill décrite par ReliaQuest illustre une tendance préoccupante : des web shells de plus en plus « métiers », capables d’interagir avec l’application ciblée pour déchiffrer des secrets et accélérer l’exfiltration. Plutôt que de rester dans le rôle d’accès à distance minimal, l’implant devient un outil complet de progression post-compromission.
Avec l’exploitation de CVE-2026-12569, l’attaque met particulièrement en avant la récupération d’identifiants LDAP et la capacité d’exécution de code en mémoire. Pour les organisations utilisant des solutions PLM, ces constats renforcent la nécessité de surveiller les comportements applicatifs inhabituels et de prioriser la remédiation des failles critiques.
Source: https://thehackernews.com/2026/08/clop-linked-windchill-web-shell.html
