Η Cl0p ισχυρίζεται μαζική υποκλοπή δεδομένων από Shell, Philips, GE και δεκάδες άλλες εταιρείες

Η ομάδα ransomware Cl0p, η οποία συνδέεται με τη Ρωσία, ανέλαβε την ευθύνη για την κλοπή μεγάλου όγκου δεδομένων από σχεδόν 50 εταιρείες παγκοσμίως, συμπεριλαμβανομένων των Shell ↘ 0.17%, Philips Koninklijke Philips N.V. ↗ 2.16%, Fiserv ↗ 7.64% και GE ↘ 1.28%, σύμφωνα με ανάρτηση στον ιστότοπο της ομάδας την οποία μετέδωσε πρώτο το ολλανδικό μέσο BNR την Πέμπτη, 13 Αυγούστου.channelnewsasia+1

Το Reuters ανέφερε ότι δεν ήταν σε θέση να επαληθεύσει ανεξάρτητα τους ισχυρισμούς της ομάδας σχετικά με τον τύπο ή τον όγκο των δεδομένων που εκλάπησαν.channelnewsasia

Αντιδράσεις των Εταιρειών

Η Shell επιβεβαίωσε σε δήλωσή της ότι γνωρίζει για ένα «πιθανό περιστατικό». «Συνεργαζόμαστε με τις ομάδες ασφαλείας μας και σχετικούς ειδικούς για τη διερεύνηση της κατάστασης», δήλωσε εκπρόσωπος της Shell.channelnewsasia+1

Η Philips έδωσε περισσότερες λεπτομέρειες: «Η Philips εντόπισε και περιόρισε μια απόπειρα παραβίασης κυβερνοασφάλειας σε συγκεκριμένο εταιρικό διακομιστή που σχετίζεται με εσωτερικά δεδομένα», ανέφερε η εταιρεία, προσθέτοντας ότι το περιστατικό δεν επηρεάζει τα περιβάλλοντα των πελατών.wifc+1

Εκπρόσωπος της Fiserv δήλωσε ότι η εταιρεία γνωρίζει τους ισχυρισμούς του εισβολέα, αλλά «με βάση την ολοκληρωμένη εξέτασή μας μέχρι σήμερα» δεν βρέθηκαν στοιχεία που να υποδεικνύουν παραβίαση δεδομένων πελατών, τραπεζικών, συναλλακτικών ή προσωπικών δεδομένων, ή ότι επηρεάστηκε το λειτουργικό της περιβάλλον. Η GE δεν έχει προβεί σε δημόσιο σχόλιο.channelnewsasia+1

Φορέας Επίθεσης: Ευπάθεια στο PTC Windchill

Παρόλο που η ακριβής μέθοδος πρόσβασης δεν έχει επιβεβαιωθεί από κανένα από τα θύματα, ερευνητές ασφαλείας συνδέουν την εκστρατεία της Cl0p με την εκμετάλλευση της CVE-2026-12569, μιας κρίσιμης ευπάθειας στο λογισμικό Windchill και FlexPLM της PTC που χρησιμοποιείται σε διαδικασίες μηχανικής και παραγωγής. Το σφάλμα, το οποίο φέρει βαθμολογία CVSS 9.3, επιτρέπει την εκτέλεση απομακρυμένου κώδικα χωρίς αυθεντικοποίηση μέσω αποσειριοποίησης μη έμπιστων δεδομένων.securityweek+1

Η CISA πρόσθεσε την ευπάθεια στον κατάλογο Known Exploited Vulnerabilities στις 25 Ιουνίου μετά την επιβεβαίωση ενεργής εκμετάλλευσης. Η Ransom-ISAC εξέδωσε ειδοποίηση στις 22 Ιουλίου προειδοποιώντας ότι η Cl0p εκμεταλλευόταν αυτές τις ευπάθειες, ενώ η PTC δημοσίευσε οδηγίες παροτρύνοντας τους πελάτες να εφαρμόσουν διορθώσεις στα επηρεαζόμενα συστήματα.fieldeffect+3

Μια Γνώριμη Τακτική

Η Cl0p δεν κρυπτογραφεί τα αρχεία των θυμάτων σύμφωνα με το παραδοσιακό μοντέλο ransomware. Αντίθετα, η ομάδα υποκλέπτει αθόρυβα δεδομένα και απειλεί να τα δημοσιεύσει σε ιστότοπο διαρροών εκτός αν το θύμα πληρώσει, μια τακτική που εξελίξει κατά την εκστρατεία της το 2023 εκμεταλλευόμενη την ευπάθεια μεταφοράς αρχείων MOVEit, η οποία επηρέασε εκατοντάδες οργανισμούς. Η τρέχουσα εκστρατεία ακολουθεί την ίδια λογική: εντοπισμός ενός ευρέως διαδεδομένου εταιρικού εργαλείου, εκμετάλλευση ενός μόνο σφάλματος και συλλογή δεδομένων από δεκάδες εταιρείες ταυτόχρονα.cryptonomist+1

Το αν η Cl0p θα πραγματοποιήσει τις απειλές της για δημοσίευση του υλικού που εκλάπη θα διαμορφώσει πιθανότατα την αμεσότητα με την οποία θα ανταποκριθούν τις επόμενες εβδομάδες οι οργανισμοί που χρησιμοποιούν ακόμη συστήματα Windchill χωρίς τις απαραίτητες διορθώσεις.