根據 ReliaQuest 的新發現，一個在 PTC Windchill 和 FlexPLM 伺服器遭到重大安全漏洞利用後部署的 JavaServer Pages (JSP) 網路 Shell，是專門為企業級產品生命週期管理 (PLM) 軟體設計的。

這家網路安全公司將此網路 Shell 形容為一個功能齊全的勒索平台，能夠繪製敏感的儲存庫資料、解密 Windchill 密鑰庫中的所有憑證，並透過自訂 Java 類別載入器執行額外程式碼，將該工具轉變為遠端存取和後續利用活動（如橫向移動、勒索軟體或持久化）的後門。

雖然威脅行為者通常以部署輕量級網路 Shell（或重複使用 Behinder 或 China Chopper 等開源變體）來維持對受感染系統的遠端存取並啟用基本命令執行能力，但最新的發展顯示出使用了量身定制的、針對被利用軟體的專用網路 Shell。

此網路 Shell 是在武器化 CVE-2026-12569（CVSS 評分為 9.3）後部署的，該漏洞與不當的輸入驗證有關，攻擊者可透過向網路發送惡意請求來執行任意程式碼。

上個月，Ransom-ISAC 與 eCrime.ch 和 Defused 一起發布的公告將此惡意活動歸因於 Clop（又名 Cl0p）勒索軟體行動，威脅行為者針對易受攻擊的系統投放了 JSP 網路 Shell。

ReliaQuest 在與 The Hacker News 分享的一份報告中表示：「此網路 Shell 為攻擊者提供了直接竊取憑證和大規模資料滲取的途徑，無需額外工具。」「與通用命令 Shell 不同，此植入程式會解密憑證、投放惡意軟體，並繪製儲存的檔案以供滲取。」

該網路 Shell 被評估為 Cl0p 經過驗證的大規模利用手法的應用程式特定演進，專門用於鎖定易受攻擊的 PTC Windchill 和 FlexPLM 實例。

研究人員 John Dilgen 和 Connor Short 表示：「它嵌入了對應用程式 API、資料庫結構、密鑰庫和檔案儲存庫結構的詳細了解，能夠在無需外部命令或額外工具的情況下，快速從存取轉移到資料竊取。」「整個過程中對『Clop』的提及，反映了這種高度可能的歸因。」

由於被鎖定的應用程式用於儲存工程資料和產品設計，成功的攻擊可能允許攻擊者獲取受害者的專有資料，以及可能被濫用於橫向移動到網路並觸及其他系統的敏感憑證。

此網路 Shell 的一個顯著特徵是單一的「S」命令，它透過使用一個名為 gs 的內建函數，以純文字形式返回 Windchill 的目錄管理和管理員憑證，該函數執行以下步驟：

在主動滲透的情況下，「S」命令還可用於提取用於管理組織 LDAP 目錄的憑證。然後使用單獨的命令來滲取結果。

ReliaQuest 表示：「由於 LDAP 憑證通常控制對 Active Directory、電子郵件系統、VPN 和其他與目錄驗證相關的企業服務的存取，因此其暴露可能將單一應用程式的滲透轉變為企業範圍的憑證滲透。」「由此產生的特權存取為從其他應用程式和儲存位置竊取資料提供了燃料，並為後續攻擊提供了持久性。」

更重要的是，該網路 Shell 在記憶體中執行攻擊者提供的程式碼的能力，為按需部署次級酬載提供了途徑，包括用於長期持久化、網路穿透或資料加密的工具。酬載的形式是一個 Base64 編碼的 ZIP 文件，其中包含編譯後的 Java 位元組碼，直接載入記憶體並執行。

此網路 Shell 中包含的一些功能如下：

總體而言，該網路 Shell 更像是植入程式，從應用程式進程內部進行 Windchill 特定發現和憑證存取，同時利用應用程式自身的資料庫連接並融入常規的 Windchill 流量，以逃避傳統的基於簽名的防禦。

ReliaQuest 表示：「一個功能豐富的植入程式，無需額外工具即可開始竊取資料，再加上一個可擴展的用於後續功能的交付機制，這使得攻擊者在存取的那一刻就擁有了完整的工具包。」

「因此，攻擊者可以完全在應用程式自身的信任邊界內，利用網路 Shell 的專用功能，快速地從初始存取轉移到資料竊取，再到進一步的後續利用活動，而無需執行手動命令。這種方法極大地限制了防禦者偵測活動的能力，因為它非常類似於應用程式的標準功能。」

這並非 Clop 團夥首次部署自訂網路 Shell。該犯罪組織先前在分別利用 Accellion（CVE-2021-27101）和 MOVEit Transfer（CVE-2023-34362）檔案傳輸軟體的 SQL 注入漏洞後，被觀察到投放了 DEWMODE 和 LEMURLOOT。

ReliaQuest 表示：「這次攻擊活動再次提醒我們，Clop 仍然是一條潛伏的巨龍，總是在尋找並準備大規模利用儲存敏感資料的軟體中的漏洞。」「該組織通常在攻擊活動之間保持不活躍，但每當有大規模勒索的機會出現時，就會以自訂網路 Shell 的形式活躍起來。」