Clop Fidye Yazılım Çetesi, Windchill ve FlexPLM Hedefinde

Clop fidye yazılım çetesi, PTC Windchill ve FlexPLM platformlarını hedef alan yeni bir veri hırsızlığı kampanyası başlattı. Bu çetenin, CVE-2026-12569 koduyla bilinen kritik bir güvenlik açığını istismar ettiği bildiriliyor. Bu açık, saldırganların savunmasız Windchill ve FlexPLM örneklerinde rastgele kod çalıştırmasına olanak tanıyor.

Siber güvenlik şirketi ReliaQuest'ın yaptığı açıklamaya göre, Clop operatörleri, hedef alınan şirketlerin PLM platformlarından hassas verileri sızdırmalarını sağlayan JSP web shell'leri dağıtıyor. ReliaQuest, "CVE-2026-12569'un aktif bir şekilde istismar edildiğini gözlemledik. Bu açık, PTC Windchill ve FlexPLM üzerinde uzaktan kimlik doğrulaması gerektirmeden kod çalıştırma ve hassas ürün verilerini dışarı aktarma imkanı sunuyor" dedi.

Bu saldırıların arkasındaki aktör henüz doğrulanmamış olsa da, gözlemlenen yöntemlerin önceki Clop kampanyalarıyla benzerlik gösterdiği ifade ediliyor. BleepingComputer'ın edindiği bilgilere göre, şirketler artık Clop çetesinin kullandığı yeni e-posta adreslerinden, destek@cryptohox.com adresinden fidye talepleri içeren mailler almaya başladı. Bu siber suç grubunun, yeni bir fidye kampanyası başlatmadan önce e-posta adreslerini değiştirmesi sık rastlanan bir taktik.

PTC, CVE-2026-12569 açığına yönelik güvenlik yamalarını 17 Haziran'da yayınlamaya başladı. Açığın aktif olarak istismar edilip edilmediğini doğrulamamış olsa da, müşterilerine sistemlerini kontrol etmeleri için özel bir danışmanlık yayınladı. 26 Haziran'da PTC, müşterilerine artan tehdit aktiviteleri konusunda uyarıda bulundu. Bunun üzerine, Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığı bilinen istismar edilen zafiyetler listesine ekleyerek ABD federal ajanslarının PTC Windchill ve FlexPLM örneklerini üç gün içinde güvence altına almasını istedi.

Almanya'daki haber ajansı Heise, CVE-2026-12569 açığının Alman yetkilileri tarafından acil önlemler alınmasına yol açtığını bildirdi. Federal Bilgi Güvenliği Ofisi (BSI), PTC müşterilerine gece yarısı e-posta ve telefon ile ulaşarak sistemlerini hızlıca yamalamalarını istedi.

ReliaQuest, PTC müşterilerine Windchill ve FlexPLM sistemlerini yamalamalarını ve mümkünse VPN veya güvenilir erişim geçitlerinin arkasına almalarını tavsiye etti. Ayrıca, sistemlerinde bir ihlal şüphesi varsa etkilenen sunucuları izole etmeleri, adli belgeleri toplamaları ve herhangi bir açık kimlik bilgilerini değiştirmeleri gerektiğini belirtti.

PTC Windchill ve PTC FlexPLM, ürün yaşam döngüsü yönetimi (PLM) olarak bilinen bir kategori altında yer alan kurumsal yazılım platformlarıdır. Bu platformlar, mühendislik, üretim, kalite ve tedarik zinciri ekipleri tarafından, ürünlerin tasarımından nihai üretimine kadar takip edilmesi ve yönetilmesi amacıyla kullanılır. PTC, ürünlerinin dünya genelinde 30,000'den fazla müşteri tarafından kullanıldığını, bunlar arasında FlexPLM'i kullanan 1,500'den fazla marka ve perakende müşterisinin bulunduğunu belirtiyor.

Clop fidye yazılım çetesi, daha önce Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo ve MOVEit Transfer dosya paylaşım sunucuları gibi kurumsal platformları hedef alarak veri hırsızlığı saldırıları düzenlemiştir. En son olarak, Oracle EBS üzerindeki bir sıfır gün açığını kullanarak, Harvard Üniversitesi, The Washington Post, GlobalLogic ve American Airlines gibi birçok kuruluşun hassas dosyalarını çalmıştır. Çeteler, sistemleri ihlal ettikten sonra çalınan verileri karanlık webde yayınlayarak, fidye ödemeyi reddeden kurbanların verilerine erişimini sağlıyor.

ABD Dışişleri Bakanlığı, bu siber suç çetesinin saldırılarını bir yabancı hükümete bağlayabilecek bilgilere 10 milyon dolarlık ödül teklif ediyor.