Cl0p beansprucht massiven Datendiebstahl bei Shell, Philips und GE

Die mit Russland in Verbindung gebrachte Ransomware-Gruppe Cl0p hat die Verantwortung für den Diebstahl großer Datenmengen von fast 50 Unternehmen weltweit übernommen, darunter Shell ↘ 0.17%, Philips Koninklijke Philips N.V. ↗ 2.16%, Fiserv ↗ 7.64% und GE ↗ 0.83%. Dies geht aus einem Beitrag auf der Website der Gruppe hervor, über den das niederländische Medium BNR am Donnerstag, dem 13. August, zuerst berichtete.channelnewsasia+1

Reuters berichtete, dass es die Angaben der Gruppe hinsichtlich der Art oder des Volumens der gestohlenen Daten nicht unabhängig überprüfen konnte.channelnewsasia

Reaktionen der Unternehmen

Shell bestätigte in einer Erklärung die Kenntnis eines "möglichen Vorfalls". "Wir arbeiten mit unseren Sicherheitsteams und relevanten Experten zusammen, um die Situation zu untersuchen", sagte ein Shell-Sprecher.channelnewsasia+1

Philips nannte weitere Details: "Philips hat einen versuchten Cybersicherheitseingriff auf einen spezifischen Unternehmensserver im Zusammenhang mit internen Daten identifiziert und eingedämmt", teilte das Unternehmen mit und fügte hinzu, dass der Vorfall keine Kundenumgebungen betreffe.wifc+1

Ein Sprecher von Fiserv erklärte, dass das Unternehmen die Behauptungen des Täters kenne, jedoch "auf der Grundlage unserer bisherigen umfassenden Überprüfung" keine Beweise dafür gefunden habe, dass Kunden-, Bank-, Transaktions- oder personenbezogene Daten kompromittiert wurden oder dass die eigene Betriebsumgebung betroffen sei. GE hat sich bislang nicht öffentlich geäußert.channelnewsasia+1

Angriffsvektor: Schwachstelle in PTC Windchill

Obwohl die genaue Zugriffsmethode von keinem der genannten Opfer bestätigt wurde, verbinden Sicherheitsforscher die Kampagne von Cl0p mit der Ausnutzung von CVE-2026-12569, einer kritischen Schwachstelle in den Windchill- und FlexPLM-Softwarelösungen von PTC, die in Engineering- und Fertigungsprozessen eingesetzt werden. Die Schwachstelle mit einem CVSS-Wert von 9,3 ermöglicht die unauthentifizierte Remote-Codeausführung durch Deserialisierung nicht vertrauenswürdiger Daten.securityweek+1

Die CISA fügte die Schwachstelle am 25. Juni in ihren Katalog bekannter ausgenutzter Schwachstellen ein, nachdem sie eine aktive Ausnutzung bestätigt hatte. Ransom-ISAC gab am 22. Juli eine Warnung heraus, dass Cl0p diese Schwachstellen ausnutze, und PTC hat Sicherheitshinweise veröffentlicht, in denen Kunden dringend aufgefordert werden, betroffene Systeme zu patchen.fieldeffect+3

Ein vertrautes Muster

Cl0p verschlüsselt die Dateien der Opfer nicht nach dem traditionellen Ransomware-Modell. Stattdessen entwendet die Gruppe stillschweigend Daten und droht damit, diese auf einer Leak-Website zu veröffentlichen, falls das Opfer nicht zahlt: eine Taktik, die sie während ihrer Kampagne im Jahr 2023 verfeinerte, bei der die MOVEit-Dateiübertragungsschwachstelle hunderte Organisationen kompromittierte. Die aktuelle Kampagne folgt derselben Logik: Ein weit verbreitetes Unternehmenswerkzeug identifizieren, eine einzelne Schwachstelle ausnutzen und Daten von dutzenden Unternehmen gleichzeitig ernten.cryptonomist+1

Ob Cl0p seine Drohungen zur Veröffentlichung des gestohlenen Materials wahr macht, wird wahrscheinlich prägen, wie dringend Organisationen, die noch ungepatchte Windchill-Systeme ausführen, in den kommenden Wochen reagieren.