Zusammenfassung

Neben Shell prüfen auch General Electric und Philips Behauptungen der Ransomware-Gruppe Clop, in ihre Systeme eingedrungen zu sein. Tags: #Cyber Crime | #Hackerangriffe aktuell

Im Detail

Neben Shell prüfen auch General Electric und Philips Behauptungen der Ransomware-Gruppe Clop, in ihre Systeme eingedrungen zu sein.

Ein Philips-Sprecher erklärte gegenüber Reuters, das Unternehmen habe einen Kompromittierungsversuch auf einem einzelnen, für interne Daten genutzten Unternehmensserver festgestellt und erfolgreich eingedämmt, Kundenumgebungen seien davon nicht betroffen gewesen. Ein GE-Sprecher bestätigte gegenüber BleepingComputer lediglich, von der Behauptung Kenntnis zu haben und diese derzeit zu prüfen.

Bereits am Freitag hatte auch Shell einen möglichen Sicherheitsvorfall bestätigt, nachdem Clop den Diebstahl von 89 Gigabyte an Daten reklamiert hatte.

Alle drei Unternehmen erscheinen auf der Leak-Website von Clop als Teil einer Gruppe von insgesamt 43 neuen mutmaßlichen Opfern.

Nach bisherigen Erkenntnissen nutzten die Angreifer dabei eine kritische Schwachstelle in aus dem Internet erreichbaren Installationen der Produktlebenszyklus-Software PTC Windchill sowie PTC FlexPLM aus, die branchenübergreifend unter anderem in der Luft- und Raumfahrt, im Verteidigungssektor, der Automobilindustrie sowie im Medizintechnikbereich weit verbreitet ist.

Laut PTC nutzen weltweit mehr als 30.000 Kunden die betroffenen Produkte, darunter mehr als 1.500 Marken- und Einzelhandelskunden allein bei FlexPLM. Clop reklamiert dabei den Diebstahl unter anderem von Sicherungskopien, Projektplänen, Anlagenfotos sowie technischen Zeichnungen und Konstruktionsplänen der betroffenen Unternehmen.

Patch für Philips im Juni verfügbar, US-Behörde bestätigt aktive Ausnutzung

PTC veröffentlichte bereits am 17. Juni Sicherheitsupdates für die zugrunde liegende Schwachstelle und warnte Kunden in einer privaten Mitteilung vor möglichen Kompromittierungsindikatoren, ohne zu diesem Zeitpunkt eine tatsächliche Ausnutzung zu bestätigen.

Inzwischen bestätigten sowohl das Sicherheitsunternehmen ReliaQuest als auch das Ransomware Information Sharing and Analysis Centre die von Clop verübten Angriffe auf Windchill und FlexPLM, bei denen die Angreifer über eingeschleuste Webshells Daten von den kompromittierten Systemen abzogen.

Die US-Cybersicherheitsbehörde CISA nahm die Schwachstelle nach einer Warnung von PTC vor verstärkter Angriffsaktivität in ihren Katalog aktiv ausgenutzter Schwachstellen auf und verpflichtete US-Bundesbehörden, ihre Systeme innerhalb von drei Tagen abzusichern.

Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik warnte PTC-Kunden nach eigenen Angaben mitten in der Nacht vor der Schwachstelle und drängte auf eine schnellstmögliche Aktualisierung.

Clop mit langer Geschichte ähnlicher Angriffe

Die Erpressergruppe Clop ist bereits seit Jahren für Angriffe auf weitverbreitete Unternehmenssoftware bekannt, darunter frühere Kampagnen gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo sowie MOVEit Transfer, von der laut Schätzungen mehr als 2.770 Organisationen weltweit betroffen waren.

Seit Anfang August 2025 nutzte die Gruppe zudem eine Schwachstelle in Oracle E-Business Suite aus, um sensible Dateien bei zahlreichen bekannten Organisationen zu entwenden, darunter die Washington Post, Harvard University, die University of Pennsylvania, Logitech, Estée Lauder, Korean Air sowie die American-Airlines-Tochter Envoy Air.

Das US-Außenministerium bietet inzwischen eine Belohnung von 10 Millionen US-Dollar für Hinweise an, die eine Verbindung der Gruppe zu einer ausländischen Regierung belegen.

(red)

Tags: #Cyber Crime | #Hackerangriffe aktuell