Cl0p Serang PTC Windchill dan FlexPLM dengan RCE Tanpa Autentikasi

Kelompok Cl0p kembali melakukan serangan siber dengan menargetkan sistem PTC Windchill dan FlexPLM yang terekspos di internet. Serangan ini memanfaatkan celah keamanan unauthenticated remote code execution (RCE) yang memungkinkan pelaku mengendalikan sistem tanpa perlu masuk secara sah.

Modus Serangan Cl0p terhadap Windchill dan FlexPLM

Para pelaku yang terkait dengan kampanye ransomware Cl0p (juga dikenal sebagai Chubby Scorpius, FIN11, Graceful Spider, dan Lace Tempest) mengeksploitasi celah keamanan pada dua produk PTC tersebut sebagai bagian dari kampanye pemerasan data terbaru.

Menurut laporan dari Ransom-ISAC bersama eCrime.ch dan DEFUSED, para penyerang menggabungkan kebocoran informasi pre-autentikasi pada endpoint WSDL FlexPLM dengan kelemahan server-side pada servlet login Windchill. Kombinasi ini memungkinkan mereka melakukan eksekusi kode jarak jauh tanpa autentikasi dan menempatkan web shell JSP dengan nama hex di direktori /Windchill/login/.

Target dan Dampak Serangan

Setelah berhasil masuk ke sistem korban, pelaku melakukan:

• Penelusuran sistem berkas
• Pengumpulan data rekayasa dan desain produk
• Pencurian data dengan skema double extortion (pemerasan ganda)

Sektor yang terdampak meliputi manufaktur, otomotif, aerospace, dan ritel. Celah yang dieksploitasi diduga adalah CVE-2026-12569 dengan skor CVSS 9.3, yang masuk dalam daftar Known Exploited Vulnerabilities (KEV) milik Kementerian Keamanan Siber AS (CISA) pada akhir bulan lalu.

Peringatan dari PTC dan Indikator Kompromi

PTC mengeluarkan peringatan bahwa aktivitas serangan terus meningkat dan pelaku menggunakan celah ini untuk menanam web shell JSP di sistem yang rentan. Para peneliti Brandon Parsons, Corsin Camichel, dan Simo Kohonen menjelaskan bahwa RCE ini digabungkan dengan kebocoran informasi pre-autentikasi di endpoint WSDL FlexPLM (skor CVSS 7.5) untuk memudahkan eksploitasi tanpa autentikasi.

Empat alamat IP yang menjadi indikator kompromi (IoC) telah dibagikan, semuanya sama dengan yang dilaporkan PTC:

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

Email pemerasan yang dikirim ke ratusan pengguna dalam organisasi korban diduga berasal dari akun-akun yang sudah terkompromi sebelumnya, disertai petunjuk menghubungi kelompok ransomware Cl0p.

Pengamatan ReliaQuest dan Karakteristik Pelaku

Dalam sebuah unggahan di platform X, ReliaQuest mengonfirmasi bahwa mereka mengamati eksploitasi celah CVE-2026-12569 yang memungkinkan eksekusi kode jarak jauh tanpa autentikasi dan penempatan web shell JSP untuk menjalankan perintah jarak jauh serta pencurian data produk sensitif.

"Pelaku di balik serangan ini belum dapat dipastikan, namun teknik yang digunakan sangat mirip dengan kampanye Cl0p sebelumnya yang menargetkan aplikasi perusahaan dan repositori data bernilai tinggi," ujar ReliaQuest.

Sejarah Serangan Cl0p dan Ancaman Berkelanjutan

Cl0p dikenal sebagai kelompok ransomware yang kerap memanfaatkan celah keamanan produk perusahaan besar untuk masuk ke jaringan target demi mencuri data dan melakukan pemerasan. Mereka sebelumnya menyerang perangkat transfer file seperti Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo, dan MOVEit Transfer, serta mengeksploitasi kelemahan Oracle E-Business Suite.

Analisis Redaksi

Menurut pandangan redaksi, serangan terbaru Cl0p ini menegaskan pentingnya keamanan aplikasi bisnis yang seharusnya menjadi prioritas utama perusahaan, terutama yang menggunakan platform PTC Windchill dan FlexPLM. Eksposur sistem ke internet tanpa proteksi yang memadai membuka peluang besar bagi pelaku kejahatan siber untuk melakukan penetrasi dan pencurian data kritikal.

Kampanye ini juga menunjukkan tren penggunaan chain exploit yang semakin kompleks, menggabungkan beberapa celah untuk mendapatkan akses tanpa autentikasi. Hal ini memperingatkan bahwa patching dan pemantauan keamanan saja tidak cukup tanpa deteksi dini dan respons insiden yang cepat.

Ke depan, perusahaan harus waspada terhadap potensi double extortion yang tidak hanya mengancam kerahasiaan data tapi juga integritas dan reputasi bisnis. Pembaca disarankan untuk terus mengikuti pembaruan keamanan dari vendor resmi dan lembaga keamanan siber terpercaya agar selalu siap menghadapi ancaman serupa.

Untuk informasi lebih lengkap dan update terkini, ikuti berita kami di Google News, Twitter, dan LinkedIn.