Cl0p väittää varastaneensa valtavasti tietoja Shelliltä, Philipsiltä ja GE:ltä

Venäjään kytkeytyvä kiristyshaittaohjelmaryhmä Cl0p on ilmoittanut olevansa vastuussa suurten tietomäärien varastamisesta lähes 50 yritykseltä eri puolilla maailmaa, mukaan lukien Shell ↘ 0.17%, Philips Koninklijke Philips N.V. ↗ 2.16%, Fiserv ↗ 7.64% ja GE ↘ 1.28%, käy ilmi ryhmän verkkosivustolla olleesta ilmoituksesta, josta hollantilainen BNR-media uutisoi ensimmäisenä torstaina 13. elokuuta.channelnewsasia+1

Reuters kertoi, ettei se pystynyt riippumattomasti vahvistamaan ryhmän väitteitä varastettujen tietojen tyypistä tai määrästä.channelnewsasia

Yritysten vastaukset

Shell myönsi tiedotteessaan olevansa tietoinen "mahdollisesta vaaratilanteesta". "Teemme yhteistyötä tietoturvatiimiemme ja asianomaisten asiantuntijoiden kanssa tilanteen selvittämiseksi", Shellin edustaja sanoi.channelnewsasia+1

Philips antoi tarkempia tietoja: "Philips on havainnut ja rajannut sisäisiin tietoihin liittyvän tietoturvamurron yrityksen tietyllä palvelimella", yhtiö totesi ja lisäsi, ettei tapauksella ole vaikutusta asiakasympäristöihin.wifc+1

Fiservin edustaja sanoi yhtiön olevan tietoinen verkkorollisen väitteistä, mutta "tähänastisen kattavan tarkastelumme perusteella" mitään viitteitä asiakas-, pankki-, transaktio- tai henkilötietojen vaarantumisesta tai toimintaympäristön häiriintymisestä ei ole löytynyt. GE ei ole kommentoinut asiaa julkisesti.channelnewsasia+1

Hyökkäystapa: PTC Windchill -haavoittuvuus

Vaikka yksikään nimetyistä uhreista ei ole vahvistanut tarkkaa pääsytapaa, tietoturvatutkijat ovat yhdistäneet Cl0pin kampanjan CVE-2026-12569-haavoittuvuuden hyödyntämiseen. Kyseessä on suunnittelu- ja valmistusprosesseissa käytettävän PTC:n Windchill- ja FlexPLM-ohjelmistojen kriittinen aukko. Haavoittuvuus, jonka CVSS-pistemäärä on 9,3, mahdollistaa etäkoodin suorittamisen ilman tunnistautumista luottamattoman datan deserialisoinnin kautta.securityweek+1

CISA lisäsi haavoittuvuuden tunnettujen hyödynnettyjen haavoittuvuuksien luetteloonsa 25. kesäkuuta vahvistettuaan sen aktiivisen hyväksikäytön. Ransom-ISAC julkaisi 22. heinäkuuta ilmoituksen, jossa se varoitti Cl0pin hyödyntävän näitä haavoittuvuuksia, ja PTC on julkaissut tiedotteita, joissa se kehottaa asiakkaita korjaamaan kyseiset järjestelmät.fieldeffect+3

Tuttu toimintamalli

Cl0p ei salaa uhrien tiedostoja perinteisen kiristyshaittaohjelmamallin mukaisesti. Sen sijaan ryhmä vie tiedot vähin äänin ja uhkaa julkaista ne vuotosivustolla, ellei uhri maksa lunastussummaa. Tämä on taktiikka, jota se hioi vuoden 2023 kampanjassaan hyödyntämällä MOVEit-tiedostonsiirtohaavoittuvuutta, joka vaaransi satoja organisaatioita. Nykyinen kampanja noudattaa samaa logiikkaa: tunnistetaan laajalti käytetty yritystyökalu, hyödynnetään yhtä aukkoa ja kerätään tiedot kymmeniltä yrityksiltä kerralla.cryptonomist+1

Se, toteuttaako Cl0p uhkauksensa varastettujen tietojen julkaisemisesta, muovaa todennäköisesti sitä, kuinka nopeasti päivittämättömiä Windchill-järjestelmiä edelleen käyttävät organisaatiot reagoivat tulevina viikkoina.