Auf den Punkt: Die Ransomware-Gruppe Clop hat über eine seit Juni gepatchte Schwachstelle in PTC Windchill und FlexPLM mindestens 43 Organisationen kompromittiert, darunter Philips, General Electric und Shell.
Nach Shell melden mit Philips und General Electric zwei weitere Großkonzerne mögliche Kompromittierungen durch die Ransomware-Gruppe Clop. Grundlage ist eine kritische Schwachstelle in der Produktlebenszyklus-Software PTC Windchill und PTC FlexPLM, die branchenübergreifend in Luftfahrt, Automobilindustrie und Medizintechnik im Einsatz ist.
Ein Philips-Sprecher bestätigte gegenüber Reuters einen Kompromittierungsversuch auf einem einzelnen, für interne Daten genutzten Unternehmensserver, der erfolgreich eingedämmt worden sei. Kundenumgebungen seien nicht betroffen gewesen. General Electric äußerte sich gegenüber BleepingComputer zurückhaltender und bestätigte lediglich, die Behauptung zur Kenntnis genommen zu haben und derzeit zu prüfen. Bereits am Freitag hatte Shell einen möglichen Sicherheitsvorfall eingeräumt, nachdem Clop den Diebstahl von 89 Gigabyte an Daten reklamiert hatte. Alle drei Unternehmen erscheinen auf der Leak-Website von Clop innerhalb einer Gruppe von insgesamt 43 neuen mutmaßlichen Opfern.
Nach bisherigen Erkenntnissen nutzten die Angreifer eine kritische Schwachstelle in aus dem Internet erreichbaren Installationen von PTC Windchill sowie PTC FlexPLM aus. Laut PTC setzen weltweit mehr als 30.000 Kunden die betroffenen Produkte ein, allein bei FlexPLM sind mehr als 1.500 Marken- und Einzelhandelskunden registriert. Clop reklamiert den Diebstahl von Sicherungskopien, Projektplänen, Anlagenfotos sowie technischen Zeichnungen und Konstruktionsplänen der betroffenen Unternehmen. Für CISOs mit PTC-Installationen in der Lieferkette oder im Produktentwicklungsprozess bedeutet dies ein konkretes Risiko für geistiges Eigentum und Konstruktionsdaten, unabhängig davon, ob das eigene Unternehmen direkt betroffen ist.
PTC veröffentlichte bereits am 17. Juni Sicherheitsupdates für die zugrunde liegende Schwachstelle und informierte Kunden in einer privaten Mitteilung über mögliche Kompromittierungsindikatoren, ohne zu diesem Zeitpunkt eine aktive Ausnutzung zu bestätigen. Inzwischen haben sowohl das Sicherheitsunternehmen ReliaQuest als auch das Ransomware Information Sharing and Analysis Centre die von Clop verübten Angriffe auf Windchill und FlexPLM bestätigt, bei denen über eingeschleuste Webshells Daten abgezogen wurden. Die US-Cybersicherheitsbehörde CISA nahm die Schwachstelle nach einer Warnung von PTC vor verstärkter Angriffsaktivität in ihren Katalog aktiv ausgenutzter Schwachstellen auf und verpflichtete US-Bundesbehörden, ihre Systeme innerhalb von drei Tagen abzusichern. Auch das deutsche BSI warnte PTC-Kunden nach eigenen Angaben nachts vor der Schwachstelle und drängte auf schnellstmögliche Updates.
Clop ist seit Jahren für Angriffe auf weitverbreitete Unternehmenssoftware bekannt, darunter Kampagnen gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo sowie MOVEit Transfer, von der laut Schätzungen mehr als 2.770 Organisationen weltweit betroffen waren. Seit Anfang August 2025 nutzt die Gruppe zudem eine Schwachstelle in Oracle E-Business Suite aus und hat sensible Dateien bei Organisationen wie der Washington Post, Harvard University, University of Pennsylvania, Logitech, Estée Lauder, Korean Air sowie Envoy Air entwendet. Das US-Außenministerium bietet inzwischen 10 Millionen US-Dollar Belohnung für Hinweise auf eine Verbindung von Clop zu einer ausländischen Regierung an. CISOs mit PTC-Windchill- oder FlexPLM-Installationen sollten den Patch-Stand ihrer Systeme unverzüglich prüfen und nach Kompromittierungsindikatoren suchen, insbesondere nach eingeschleusten Webshells.
Quelle: www.it-daily.net · Erschienen 18. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.