Cl0p revient avec une nouvelle campagne d’exploitation de vulnérabilité
Le groupe de cybercriminalité Cl0p a récemment lancé une nouvelle campagne d’attaques, marquée par un changement notable de ses adresses e-mail de contact, un signe précurseur de ses activités malveillantes.
L’intrusion initiale repose sur l’exploitation de la vulnérabilité CVE-2026-12569, présente dans les outils de gestion du cycle de vie des produits (PLM), Windchill et FlexPLM de PTC. Cette vulnérabilité a été classée avec un score de sévérité CVSS 3.1 de 9,8, permettant l’exécution de code arbitraire à distance, sans authentification, sur des systèmes exposés directement sur Internet. PTC a émis une alerte le 17 juin, suivie rapidement de correctifs.
Cependant, l’exploitation de cette vulnérabilité a déjà été initiée, avec le déploiement de webshells dès le 18 juin. L’agence américaine de la cybersécurité (CISA) a ajouté la CVE-2026-12659 à sa liste de vulnérabilités activement exploitées une semaine plus tard.
Le Ransom-ISAC, en collaboration avec Defused et eCrime.ch, a publié une synthèse de la campagne actuelle, qui s’inscrit dans la continuité des activités de Cl0p au cours des six dernières années. Les premiers courriels de revendication et d’extorsion, signés Cl0p, ont été observés le 20 juillet. Ces e-mails semblent provenir de comptes piratés aléatoirement, adressés à de nombreux utilisateurs d’organisations touchées, contenant les coordonnées les plus récentes du groupe. Cette méthode de chantage rappelle les techniques utilisées lors de la campagne Oracle EBS de l’année précédente, bien que de nouvelles adresses e-mail soient désormais employées.
À ce jour, Cl0p n’a pas encore revendiqué de victimes ni divulgué de données dans le cadre de cette nouvelle campagne.
Source : LeMagIT.
