PTC Windchillを狙う標的型Webシェルが判明、Clop関与の認証情報窃取・設計データ探索プラットフォーム
要点
- セキュリティ企業ReliaQuestが、PTCの製品ライフサイクル管理（PLM）ソフトウェアに特化した高機能なJSP Webシェルの分析結果を公表した。
- このWebシェルはランサムウェア組織「Clop」による関与が強く示唆されており、重大な脆弱性「CVE-2026-12569」を突いて侵入後に配置される。
- 単一のコマンドを実行するだけで設定ファイルやキーストアからLDAP管理者パスワードを含む各種認証情報を復号し、平文で取得する。
- 正規プロセスや既存のデータベース接続を悪用して設計データを探索し、メモリ上で追加の不正プログラムを実行する仕組みを備えている。
概要
セキュリティ企業のReliaQuestは2026年8月19日、PTCが提供するPLMソフトウェア「PTC Windchill」および「FlexPLM」を標的としたカスタム仕様のWebシェル（Webサーバー上で不正なコマンドを実行させるプログラム）に関する調査結果を発表した。このWebシェルは、対象製品に存在する深刻な脆弱性の悪用を通じて展開され、機密データの探索や内部認証情報の復号を行う機能を備えている。分析にあたった研究者は、大規模な二重恐喝などで知られるランサムウェアグループ「Clop（別名Cl0p）」がこの攻撃活動に関与している可能性が極めて高いと報告している。
脆弱性の悪用と攻撃グループの関与
今回の攻撃で悪用されているのは、PTC WindchillおよびFlexPLMに存在する脆弱性「CVE-2026-12569」（CVSSスコア：9.3）である。CVSSは脆弱性の深刻度を評価する共通指標であり、9.3は極めて危険度が高いレベルを示す。この不具合は入力値の検証が不十分であることに起因しており、攻撃者が細工したリクエストをネットワーク経由で送信することで、認証なしに任意のコードを実行される恐れがある。
この脆弱性をめぐっては、先月にもRansom-ISAC、eCrime.ch、Defusedが共同で注意喚起を発表し、Clopのアフィリエイト（攻撃実行者）が影響を受けるシステムに対してJavaServer Pages（JSP）形式のWebシェルを送り込んでいる実態を警告していた。ReliaQuestの解析によると、Webシェルの内部コードの随所に「Clop」への直接的な言及が含まれており、同グループの専用ツールであることが裏付けられているという。
製品の内部構造に特化したカスタム設計
サイバー攻撃で用いられるWebシェルは、一般に「Behinder」や「China Chopper」といったオープンソースの既存ツールや、簡易的なコマンド実行ツールを流用するケースが多い。しかし今回確認されたWebシェルは、PTC WindchillおよびFlexPLMの構造に合わせてゼロから構築された特注品であることが判明した。
ReliaQuestは、このインプラントを単なる遠隔操作ツールではなく「単体で機能が完結した恐喝プラットフォーム」と位置づけている。Webシェル内には、対象アプリケーションのAPI仕様、データベーススキーマ、暗号鍵を管理するキーストア、ファイル保管領域（ファイルボールト）の構造に関する詳細な知識があらかじめ組み込まれている。外部から追加のコマンドを実行したり専用ツールを持ち込んだりすることなく、初期侵入から認証情報の窃盗、データの持ち出しまでを速やかに完結できる設計になっているという。
認証情報の一括復号と組織全体への拡大リスク
このWebシェルが持つ極めて強力な機能の一つが、単一の「S」コマンドによる認証情報の一括復号である。このコマンドを受け取ると、Webシェルに内蔵された「gs」関数が以下の処理を自動的に実行する。
- Windchillの設定ファイルである「ieStructProperties.txt」を読み込む。
- アプリケーションのキーストアを直接参照し、LDAP（組織のユーザー情報や権限を一元管理するプロトコル）の管理者パスワードを復号する。
- ローカルに保存されているプロパティ情報を順次走査し、管理者アカウントの認証情報、オブジェクトストレージのアクセス情報、全サイト管理者キーなどの暗号化された値をすべて平文へ復号する。
抽出された認証情報は、別の専用コマンドを用いて外部へ送信される。ReliaQuestは、LDAPの管理権限がActive DirectoryやVPN、社内電子メールなど、組織全体の主要システムと連携している場合が多い点を指摘している。単一のアプリケーション侵害にとどまらず、企業全体のネットワーク全体に対する特権アクセスの掌握や横展開（ラテラルムーブメント）につながる重大な脅威になると警告している。
フォレンジックを回避する設計データ探索とステルス機能
攻撃の主目的とされる知的財産の奪取に関しても、巧妙な仕組みが確認された。Webシェルには、手動での探索コマンドを実行することなく、アプリケーションデータベースを直接参照して価値の高い設計データを特定するボールト列挙機能が備わっている。
さらに、データ検索の際には攻撃者が独自のアカウントを作成するのではなく、Windchillが本来保持している正規のデータベース接続権限をそのまま利用してクエリを実行する。これにより、不審なアカウント作成ログを残さず、フォレンジック（不正アクセスの原因調査）による追跡を困難にしている。アプリケーションプロセス自身の内部から動作し、通常のWindchillの通信トラフィックに紛れ込ませることで、従来のシグネチャベースの検知システムをすり抜けるよう工夫されている。
独自クラスローダーによるメモリ上でのコード実行
Webシェルには、遠隔から任意のプログラムをオンデマンドで送り込んで実行するための独自のJavaクラスローダー（プログラム実行時に必要なコードをメモリに読み込む機構）も実装されている。
攻撃者は、Base64形式でエンコードされたZIPファイル（コンパイル済みのJavaバイトコード）を送信することで、ディスクにファイルを書き込むことなく、サーバーのメモリ上に直接展開して実行できる。この仕組みにより、システムへの長期的な潜伏手段の確立、社内ネットワークの深部への侵入、さらにはランサムウェアを用いたファイルの暗号化など、後続の攻撃活動に必要な追加モジュールを柔軟に配備することが可能となっている。
補足
PTC WindchillやFlexPLMなどのPLMソフトウェアは、製造業をはじめとする企業の製品設計情報やエンジニアリングデータといった重要機密を集約して管理している。そのため、侵入に成功した攻撃者にとっては機密窃取と二重恐喝の両面で極めて標的価値が高い対象となっている。