Una nuova campagna di attacchi informatici sta prendendo di mira i server PTC Windchill e FlexPLM, piattaforme di Product Lifecycle Management usate in molte aziende per gestire dati di ingegneria, progetti e documentazione tecnica. Il punto di ingresso è lo sfruttamento di una vulnerabilità critica identificata come CVE 2026 12569, legata a una validazione impropria degli input che consente esecuzione di codice remoto tramite richieste malevole.
Dopo la compromissione, gli attaccanti installano una web shell in JavaServer Pages progettata in modo specifico per l’ambiente Windchill, con funzioni molto più avanzate rispetto alle classiche web shell generiche.
Questo impianto agisce come una piattaforma completa per estorsione e post-exploitation. È in grado di mappare i dati presenti nei vault dell’applicazione, individuando file di alto valore senza richiedere comandi manuali di discovery. Un elemento particolarmente pericoloso è la capacità di decifrare credenziali salvate nel keystore di Windchill, ottenendo password e chiavi in chiaro.
Tra le funzionalità più critiche c’è un comando che recupera le credenziali di gestione e amministrazione leggendo file di configurazione come ieStructProperties.txt, estraendo e decifrando la password del manager LDAP e iterando sulle proprietà locali per sbloccare ulteriori valori cifrati, inclusi account amministrativi e credenziali di storage.
L’esposizione delle credenziali LDAP rappresenta un rischio enorme per la sicurezza aziendale, perché spesso tali credenziali sono collegate a servizi centrali come Active Directory, posta elettronica, VPN e altri sistemi che si basano sull’autenticazione di directory. In pratica un singolo server PLM esposto su Internet può trasformarsi nel punto di partenza per un compromesso esteso dell’intera rete, facilitando movimento laterale, persistenza e distribuzione di ransomware.
La web shell include anche una funzione per eseguire codice aggiuntivo direttamente in memoria tramite un class loader Java personalizzato. Il payload può essere fornito come archivio ZIP codificato in Base64 contenente bytecode compilato, caricato ed eseguito senza scritture evidenti su disco. Inoltre, per ridurre la visibilità forense, l’impianto può eseguire query sfruttando l’identità database già esistente dell’applicazione, mimetizzandosi nel traffico normale di Windchill e rendendo più difficile il rilevamento basato su firme.