Een JavaServer Pages (JSP) webshell die is ingezet na misbruik van een kritiek beveiligingslek in PTC Windchill- en FlexPLM-servers is speciaal ontworpen voor de enterprise Product Lifecycle Management (PLM)-software, volgens nieuwe bevindingen van ReliaQuest.
Het cyberbeveiligingsbedrijf typeerde de webshell als een volledig uitgerust afpersingsplatform dat in staat is om gevoelige kluisgegevens in kaart te brengen, elke inloggegevens in de Windchill-sleutelopslag te ontsleutelen en aanvullende code uit te voeren door middel van een aangepaste Java-klasselader, waardoor de tool een achterdeur wordt voor externe toegang en post-exploitatieactiviteiten, zoals laterale verplaatsing, ransomware of persistentie.
Hoewel het bekend is dat bedreigingsactoren doorgaans lichtgewicht webshells inzetten (of open-sourcevarianten zoals Behinder of China Chopper hergebruiken) als een manier om externe toegang tot gecompromitteerde systemen te behouden en basismogelijkheden voor het uitvoeren van opdrachten mogelijk te maken, signaleert de nieuwste ontwikkeling het gebruik van een op maat gemaakte webshell die is afgestemd op de software die wordt uitgebuit.
De webshell wordt ingezet na de bewapening van CVE-2026-12569 (CVSS-score: 9,3), die betrekking heeft op een geval van onjuiste invoervalidatie waardoor een aanvaller willekeurige code zou kunnen uitvoeren door een kwaadaardig verzoek naar het netwerk te sturen.
Een advies uitgebracht door Ransom-ISAC samen met eCrime.ch en Defused vorige maand schreef de kwaadaardige activiteit toe aan de Clop (ook bekend als Cl0p) ransomware-operatie, waarbij de bedreigingsacteur JSP-webshells tegen gevoelige systemen liet vallen.
“De webshell geeft aanvallers een direct pad naar diefstal van inloggegevens en grootschalige data-exfiltratie, zonder dat extra tools nodig zijn”, aldus ReliaQuest in een rapport gedeeld met The Hacker News. “In tegenstelling tot generieke opdrachtshells decodeert dit implantaat inloggegevens, levert het malware en brengt het opgeslagen bestanden in kaart voor exfiltratie.”
De webshell wordt beschouwd als een applicatiespecifieke evolutie van Cl0p’s beproefde massa-exploitatie-playbook, speciaal gebouwd om kwetsbare PTC Windchill- en FlexPLM-instanties te onderscheiden.
“Het omvat gedetailleerde kennis van de API’s, het databaseschema, de keystore en de structuur van de bestandskluis van de applicatie, waardoor een snelle overgang mogelijk is van toegang tot gegevensdiefstal, zonder externe opdrachten of extra tools”, aldus onderzoekers John Dilgen en Connor Short. “Verwijzingen naar ‘Clop’ weerspiegelen deze zeer waarschijnlijke toeschrijving.”
Omdat de gerichte applicaties worden gebruikt om technische gegevens en productontwerpen op te slaan, kan een succesvol compromis de aanvallers in staat stellen eigendomsgegevens van slachtoffers te verkrijgen, evenals gevoelige inloggegevens die kunnen worden misbruikt om lateraal het netwerk binnen te dringen en andere systemen te bereiken.
Een van de opvallende kenmerken van de webshell is een enkele “S”-opdracht die Windchill’s directorybeheer- en beheerdersreferenties in platte tekst retourneert door gebruik te maken van een ingebouwde functie genaamd gs die de volgende stappen uitvoert:
- Leest Windchill’s “ieStructProperties.txt” configuratiebestand
- Decodeert het LDAP-beheerderswachtwoord (Lightweight Directory Access Protocol) uit de keystore van de toepassing
- Doorloopt alle opgeslagen lokale eigenschappen en ontsleutelt extra gecodeerde waarden, waaronder beheerdersaccountreferenties, objectopslagreferenties en alle sitebeheerdersleutels
In het geval van een actief compromis kan de opdracht “S” ook worden gebruikt om de inloggegevens te extraheren die worden gebruikt om de LDAP-directory van de organisatie te beheren. Een afzonderlijk commando wordt vervolgens gebruikt om de resultaten te exfiltreren.
“Omdat LDAP-referenties doorgaans de toegang regelen tot Active Directory, e-mailsystemen, VPN en andere bedrijfsservices die verband houden met directory-authenticatie, kan de blootstelling ervan ertoe leiden dat een enkele applicatie-compromis verandert in een bedrijfsbrede credential-compromis”, aldus ReliaQuest. “De resulterende geprivilegieerde toegang stimuleert datadiefstal van extra applicaties en opslaglocaties, evenals de persistentie van vervolgaanvallen.”
ReliaQuest vertelde The Hacker News dat de webshell de volgende opdrachten ondersteunt:
-
S — Retourneert Windchill-referenties in leesbare tekst
-
E — Retourneert de parameterwaarde rechtstreeks, waarschijnlijk gebruikt om de connectiviteit te testen
-
O — Retourneert de naam van het besturingssysteem
-
J — Laadt en voert een Java-klasse uit vanuit een ZIP via de klassenlader
-
D — Voert de bestandsdownloadfunctie uit
-
S — Voert de functie voor het verzamelen van inloggegevens uit
-
L — Voert de opsomming van de bestandskluis uit en schrijft “flst.txt”
-
G — Leest een willekeurig bestand uit het bestandssysteem
-
R — Verwijdert een bestand; gebruikt voor opruimen
Bovendien biedt de mogelijkheid van de webshell om door de aanvaller aangeleverde code in het geheugen uit te voeren een manier om op verzoek secundaire payloads in te zetten, waaronder tools voor persistentie op de lange termijn, netwerktraversal of gegevensversleuteling. De payload heeft de vorm van een Base64-gecodeerd ZIP-bestand met gecompileerde Java-bytecode die rechtstreeks in het geheugen wordt geladen en uitgevoerd.
Enkele van de functies die in de webshell zijn ingebakken, zijn als volgt:
- Een kluisopsommingsmogelijkheid die zich richt op de applicatiedatabase om hoogwaardige technische gegevens te identificeren zonder handmatige detectieopdrachten uit te voeren
- Query’s uitvoeren via de bestaande database-identiteit van Windchill in plaats van een nieuw door de aanvaller gecontroleerd account te maken om de forensische zichtbaarheid te verminderen
Alles bij elkaar genomen functioneert de webshell meer als een implantaat dat Windchill-specifieke ontdekkingen en toegang tot inloggegevens uitvoert vanuit het applicatieproces, terwijl het de eigen databaseverbindingen van de applicatie gebruikt en opgaat in regulier Windchill-verkeer om traditionele, op handtekeningen gebaseerde verdedigingen te omzeilen.
“De combinatie van een implantaat dat rijk is aan functies, waarvoor geen extra gereedschap nodig is om gegevens te stelen, gecombineerd met een uitbreidbaar leveringsmechanisme voor vervolgmogelijkheden, geeft de tegenstander een complete toolkit vanaf het moment van toegang”, aldus ReliaQuest.
“De aanvaller kan daarom snel overgaan van initiële toegang via gegevensdiefstal naar verdere post-exploitatieactiviteiten, volledig binnen de eigen vertrouwensgrens van de applicatie, met behulp van de speciaal gebouwde functies van de webshell zonder handmatige opdrachten uit te voeren. De aanpak beperkt het vermogen van verdedigers om de activiteit te detecteren aanzienlijk, omdat het de standaardfuncties van de applicatie nauw nabootst.”
Dit is niet de eerste keer dat de Clop-bende aangepaste webshells inzet. Er werd eerder waargenomen dat de e-criminaliteitsgroep DEWMODE en LEMURLOOT liet vallen na misbruik van SQL-injectiefouten in respectievelijk Accellion (CVE-2021-27101) en MOVEit Transfer (CVE-2023-34362) bestandsoverdrachtsoftware.
“Deze campagne herinnert ons er opnieuw aan dat Clop een slapende draak blijft, die altijd op zoek is naar en zich voorbereidt op het massaal exploiteren van kwetsbaarheden in software die gevoelige gegevens bevat”, aldus ReliaQuest. “De groep is gewoonlijk inactief tussen campagnes door, maar komt tot leven met op maat gemaakte webshells wanneer er weer een mogelijkheid is voor massale afpersing.”
