Clop, una conocida banda de ransomware, está explotando una vulnerabilidad crítica en las plataformas de gestión del ciclo de vida del producto (PLM) PTC Windchill y FlexPLM para robar datos sensibles y extorsionar a las empresas afectadas.
Por qué importa: Esta campaña pone en riesgo información confidencial de productos y diseños, afectando a múltiples industrias que dependen de estas plataformas para su desarrollo y gestión.
Lo esencial
- Clop aprovecha la vulnerabilidad CVE-2026-12569, que permite ejecución remota de código sin autenticación.
- Los atacantes despliegan webshells JSP para extraer datos confidenciales de las plataformas comprometidas.
- PTC lanzó parches de seguridad y agencias como CISA y BSI urgieron a aplicar las actualizaciones rápidamente.
Vulnerabilidad crítica en PTC Windchill y FlexPLM
La falla CVE-2026-12569 es una vulnerabilidad de deserialización insegura con una puntuación CVSS de 9.3, que permite a atacantes ejecutar código arbitrario sin necesidad de autenticación previa. Esto facilita la instalación de webshells JSP que otorgan control remoto sobre los sistemas afectados.
PTC comenzó a distribuir parches el 17 de junio y emitió una alerta privada recomendando a sus clientes revisar sus entornos para detectar indicios de compromiso.
Campaña de extorsión y modus operandi de Clop
Tras comprometer los sistemas, Clop roba datos sensibles relacionados con productos y diseños, y luego envía correos de extorsión desde nuevas direcciones como support@cryptohox.com. Cambiar frecuentemente los correos es una táctica habitual para evadir bloqueos y mantener la presión sobre las víctimas.
La campaña comparte características con ataques previos de Clop dirigidos a aplicaciones empresariales y repositorios de datos de alto valor.
