Ransomware групировката Cl0p заяви, че е пробила вътрешната мрежа на Harley-Davidson и е откраднала около 270 GB данни. Случаят изглежда свързан с мащабната кампания срещу организации, използващи PTC Windchill.
Откраднати ли са производствени данни?
Cl0p е публикувала Harley-Davidson в своя сайт за изтичане на данни, като впоследствие към името на компанията се е появила индикация, че информацията е публикувана чрез торент и магнитна връзка.
Групировката твърди, че Harley-Davidson е сред жертвите, които не са отговорили на исканията й. Самата компания е потвърдила, че е запозната с твърденията, но засега отказва допълнителен коментар.
Размерът на публикувания архив е приблизително 270 GB, но все още няма независимо потвърждение, че целият обем действително принадлежи на производителя.
По-интересният въпрос е какво съдържат данните.
Следи водят към Windchill
Публично достъпните директории съдържат множество признаци за използване на PTC Windchill, платформа за управление на жизнения цикъл на продуктите (PLM), използвана от големи производствени организации.
Сред видимите елементи са директории на Windchill 13, административната директория /home/wcadmin/, компоненти на Solr за търсене и индексиране, файлове, свързани с хранилищата на платформата, както и информация за сървъри, конфигурации, архиви и производствена среда.
Това е особено чувствително за индустриална компания. PLM системите свързват продуктови данни, инженери, производство и външни доставчици. Потенциалното изтичане на подобна информация може да разкрие не просто корпоративни документи, а данни за продукти, процеси, инфраструктура и взаимоотношения с партньори.
Cl0p превръща уязвимостите в индустриален модел
Случаят с Harley-Davidson изглежда като поредна стъпка в кампанията на Cl0p срещу Windchill. През юни групировката започна да експлоатира критична RCE уязвимост CVE-2026-12569, която е била използвана като zero-day преди нейното отстраняване.
През следващите месеци започнаха да се появяват десетки предполагаеми жертви, сред които големи индустриални компании. Кампанията обхвана и FlexPLM – вариант на платформата, насочен към производители в секторите на облеклото, обувките и потребителските стоки.
Това показва важна промяна в модела на Cl0p. Групировката все по-често няма нужда да криптира инфраструктурата, за да постигне изнудване. Достатъчно е да получи достъп, да изнесе ценните данни и да заплаши с публичното им разпространение.
За производителите това означава, че защитата на PLM системите вече трябва да се разглежда като част от критичната киберсигурност на бизнеса, а не просто като задача на ИТ отдела.
