Cl0p revient avec une nouvelle campagne d'exploitation de vulnérabilité

Le groupe Cl0p est prêt pour une nouvelle campagne. Comme certains l'auront relevé, il a changé ses adresses e-mail de contact. Un signe précurseur.

La vecteur d'intrusion initiale est établi : l'exploitation de la CVE-2026-12569 dans les outils de gestion du cycle de vie des produits (PLM) Windchill et FlexPLM de PTC.

Cette vulnérabilité affiche un score de sévérité CVSS 3.1 de 9,8. Elle permet de forcer l'exécution de code arbitraire à distance, sans authentification, sur un système affecté et exposé directement sur Internet. L'éditeur PTC a lancé l'alerte le 17 juin. Les correctifs ont rapidement suivi.

Mais l'exploitation, avec le déploiement de webshells avait déjà commencé. Dès le 18 juin, l'éditeur fournissait des marqueurs techniques. L'agence américaine de la cybersécurité et de la sécurité des infrastructures (Cisa) ajoutera la CVE-2026-12659 à sa liste de vulnérabilités activement exploitées une semaine plus tard.

Avec Defused et eCrime.ch, le Ransom-ISAC a publié une synthèse de la campagne en cours, qui s'inscrit dans la continuité des activités de Cl0p depuis six ans.

C'est le 20 juillet que les premiers courriels de revendication et d'extorsion signés Cl0p ont été observés : « les e-mails de chantage semblent provenir de comptes piratés au hasard ; ils sont envoyés à des centaines d'utilisateurs au sein d'une organisation touchée et contiennent les coordonnées les plus récentes de Cl0p. Cette méthode de chantage correspond à ce que nous avions observé lors de la campagne Oracle EBS de l'année dernière, à l'exception de l'utilisation de nouvelles adresses e-mail ».

À ce jour, Cl0p n'a pas encore commencé à revendiquer de victimes de cette nouvelle campagne, ni à en divulguer de données.