„Cl0p“ skelbia apie masinę duomenų vagystę iš „Shell“, „Philips“, GE ir kitų įmonių

Su Rusija siejama išpirkos reikalaujančių programišių grupuotė „Cl0p“ prisiėmė atsakomybę už didelių duomenų kiekių vagystę iš beveik 50 įmonių visame pasaulyje, įskaitant „Shell“ ↘ 0.17%, „Philips Koninklijke Philips N.V.“ ↗ 2.16%, „Fiserv“ ↗ 7.64% ir GE ↘ 1.28%, teigiama grupuotės svetainėje paskelbtame pranešime, apie kurį ketvirtadienį, rugpjūčio 13 d., pirmasis pranešė Nyderlandų žiniasklaidos kanalas BNR.channelnewsasia+1

„Reuters“ pranešė negalėjusi nepriklausomai patvirtinti grupuotės teiginių apie pavogtų duomenų tipą ar kiekį.channelnewsasia

Įmonių reakcija

„Shell“ savo pareiškime patvirtino žinanti apie „galimą incidentą“. „Siekdami ištirti situaciją, dirbame kartu su savo saugumo komandomis ir atitinkamais ekspertais“, sakė „Shell“ atstovas.channelnewsasia+1

„Philips“ pateikė daugiau detalių: „Philips“ nustatė ir suvaldė bandymą pažeisti tam tikro įmonės serverio, susijusio su vidiniais duomenimis, kibernetinį saugumą“, nurodė bendrovė, pridurdama, kad incidentas neturi poveikio klientų aplinkai.wifc+1

„Fiserv“ atstovas teigė, kad bendrovė žino apie įsilaužėlių pareiškimus, tačiau „remiantis iki šiol atlikta išsamia analize“ nerasta jokių įrodymų, kad būtų pažeisti klientų, bankininkystės, operacijų ar asmens duomenys arba kad būtų paveikta jos veiklos aplinka. GE viešų komentarų nepateikė.channelnewsasia+1

Atakos būdas: PTC „Windchill“ saugumo spraga

Nors nė viena iš paminėtų nukentėjusių įmonių nepatvirtino tikslaus patekimo būdo, saugumo tyrėjai „Cl0p“ kampaniją sieja su CVE-2026-12569 spragos išnaudojimu. Tai yra kritinis saugumo pažeidimas, esantis inžinerijos ir gamybos procesuose naudojamoje PTC „Windchill“ ir „FlexPLM“ programinėje įrangoje. Šis trūkumas, įvertintas 9,3 balo pagal CVSS sistemą, leidžia neautentifikuotai įvykdyti nuotolinį kodą per nepatikimų duomenų deserijavimą.securityweek+1

CISA įtraukė šią spragą į žinomų išnaudojamų pažeidiamumų katalogą birželio 25 d., kai buvo patvirtintas aktyvus jos išnaudojimas. „Ransom-ISAC“ liepos 22 d. išplatino įspėjimą, kad „Cl0p“ naudojasi šiomis spragomis, o PTC paskelbė rekomendacijas, raginančias klientus įdiegti pažeistų sistemų atnaujinimus.fieldeffect+3

Pažįstamas veikimo scenarijus

„Cl0p“ neužšifruoja aukų failų pagal tradicinį išpirkos reikalaujančių programų modelį. Vietoj to grupuotė tyliai pavagia duomenis ir grasina juos paviešinti savo nutekinimo svetainėje, jei auka nesumokės. Šią taktiką ji ištobulino per 2023 m. kampaniją, kai išnaudojo „MOVEit“ failų perdavimo spragą, paveikusią šimtus organizacijų. Dabartinė kampanija remiasi ta pačia logika: surasti plačiai naudojamą įmonių įrankį, išnaudoti vieną spragą ir surinkti duomenis iš daugybės įmonių vienu metu.cryptonomist+1

Tai, ar „Cl0p“ įvykdys savo grasinimus paviešinti pavogtą medžiagą, greičiausiai nulems, kaip skubiai ateinančiomis savaitėmis reaguos organizacijos, kurios vis dar naudoja neatnaujintas „Windchill“ sistemas.