랜섬웨어 affiliate 집단 클0p(Cl0p)이 산업용 PLM(Product Lifecycle Management) 솔루션인 PTC Windchill과 PTC FlexPLM의 인터넷 노출 인스턴스를 집중적으로 표적화하고 있다. 공격은 인증 단계 이전에 실행 가능한 사전 인증 RCE chaining으로 구성되며, 유출된 정보는 랜섬웨어 배포뿐 아니라 데이터 익션(data extortion)까지 연결되는 이중 압박(Double extortion) 형태로 활용된다. 이번 캠페인은 파일 전송 솔루션 중심의 기존 공급망 공격이 PLM 영역으로 이동했음을 보여주는 사례로, 제조·엔지니어링 산업의 보안 담당자가 즉시 점검해야 할 위협으로 평가된다.
- 표적 변화: 클0p 계열이 파일 전송 솔루션에서 PTC Windchill·FlexPLM 같은 산업용 PLM으로 공격 표적을 확장
- 핵심 익스플로잇: FlexPLM WSDL 엔드포인트의 사전 인증 정보 유출과 Windchill 로그인 서블릿 결함 chaining으로 사전 인증 RCE 달성
- 운영 모델: 랜섬웨어 배포와 데이터 유출을 결합한 이중 압박 형태로 제조·엔지니어링 기업의 핵심 IP를 2차 협박에 활용
PTC PLM을 사용하는 제조·엔지니어링 기업은 인터넷 노출 인스턴스에 대한 긴급 점검과 익스플로잇 기반 침해 징후 헌팅을 즉시 수행해야 한다.
1. 개요: PTC PLM을 노리는 클0p 계열의 신규 캠페인
2026년 7월 기준 위협 인텔리전스 보고에 따르면, 클0p 계열 위협 행위자는 PTC Windchill과 PTC FlexPLM의 인터넷 노출 배포 환경을 대상으로 한 공격 활동을 확대하고 있다. 이번 활동은 익스플로잇 공개 후 패치가 지연된 자산을 우선 공략하는 클0p 계열의 전통적 전술을 따르면서도, 표적을 기존 파일 전송 솔루션 영역에서 엔지니어링 협업과 제품 수명주기 관리 영역으로 이동시켰다는 점에서 의미가 크다.
특히 이번 캠페인은 단순한 시스템 잠금에 그치지 않고, 사전 인증 단계에서 데이터를 외부로 유출한 뒤 금전 협박까지 수행하는 전형적인 이중 압박 형태로 운영되고 있다. 공격 성공 시 제조사는 설계 도면, BOM(Bill of Materials), 공급사 협업 자료 등 핵심 영업비밀이 유출될 위험에 동시에 노출된다.
2. 공격 메커니즘: FlexPLM WSDL 정보 유출과 Windchill 서버 결함의 사전 인증 RCE chaining
2.1 FlexPLM WSDL 엔드포인트의 인증 전 정보 유출 지점
공격의 첫 단계는 FlexPLM의 WSDL(Web Services Description Language) 엔드포인트에 대한 사전 인증 정보 유출이다. 해당 지점은 별도의 인증 검증 없이 서비스 명세와 내부 스키마를 응답으로 반환하며, 공격자는 이를 통해 내부 객체 구조, 메서드 시그니처, 그리고 일부 환경 메타데이터를 수집할 수 있다. 단독으로는 직접적 피해를 주지 않지만, 후속 익스플로잇의 정밀도를 높이기 위한 정찰 단계의 핵심 노드로 활용된다.
2.2 Windchill 로그인 서블릿의 서버 측 결함과 인증 우회 경로
Windchill 로그인 서블릿에는 입력값 처리 과정에서 서버 측 결함이 존재하며, 공격자는 이를 활용해 인증 세션의 정상 발급 흐름을 우회할 수 있다. 본 결함은 패치 이전 버전에서 재현 가능하며, 인터넷에 노출된 관리 콘솔과 SSO 연동 게이트웨이에서 모두 악용 가능한 것으로 확인된다.
2.3 사전 인증 RCE chaining의 단계별 익스플로잇 시퀀스
두 결함은 단독이 아닌 chaining으로 결합될 때 비로소 사전 인증 RCE를 완성한다. 공격자는 먼저 WSDL 정보 유출로 수집한 내부 스키마 정보를 payload 구성에 활용하고, 이어서 Windchill 로그인 서블릿 결함으로 인증 컨텍스트를 위조한 뒤, PLM 내부 기능 호출을 통해 임의 코드 실행을 유도한다. 결과적으로 인증 자격증명이 없는 외부 공격자도 초기 침투가 가능하며, 이후 단계에서 권한 상승과 lateral movement가 빠르게 연쇄된다.
| 단계 | 표적 컴포넌트 | 활용 결함 | 결과 |
|---|---|---|---|
| 1단계 정찰 | FlexPLM WSDL 엔드포인트 | 사전 인증 정보 유출 | 내부 스키마·메타데이터 수집 |
| 2단계 인증 우회 | Windchill 로그인 서블릿 | 서버 측 결함 | 인증 세션 위조 |
| 3단계 RCE | PLM 내부 기능 호출 | chaining 익스플로잇 | 사전 인증 RCE 달성 |
| 4단계 익션 | 도면·BOM·협업 저장소 | 내부 권한滥用 | 데이터 유출 및 이중 압박 |
3. 위협 행위자 프로파일: Chubby Scorpius와 FIN11, 다중 alias의 공급망 표적화 전략
3.1 Chubby Scorpius(FIN11) affiliate 운영 모델과 액세스 브로커 연계
이번 캠페인은 Chubby Scorpius로 분류된 클0p affiliate가 주도하며, 동일 위협 행위자는 산업계 위협 인텔리전스에서 FIN11, Graceful Spider, Lace Tempest 등 다수의 alias로 교차 추적된다. 운영 모델은 초기 침투를 액세스 브로커에게 위탁하고, 확보한 거점을 affiliate가 인수해 랜섬웨어 배포와 데이터 익션을 수행하는 분업 구조를 따른다. 이러한 구조는 침투 시점부터 협박까지의 소요 시간을 단축하며, 피해 기업의 대응 시간을 사실상 축소시킨다.
3.2 파일 전송 솔루션에서 PLM으로 이동한 표적 진화
클0p 계열은 과거 MOVEit Transfer, GoAnywhere, Accellion 등 파일 전송 솔루션에서의 대규모 익스플로잇으로 잘 알려져 있다. 그러나 패치 적용과 망분리 강화로这类 표적의 공격 효율이 낮아지면서, 상대적으로 외부 노출이 잦은 PLM·CAD 연동 환경으로 무게중심이 이동한 것으로 분석된다. PLM은 설계 단계부터 양산까지의 모든 협업 데이터를 보유하므로, 단일 침투로 다수 협력사·부품사로 피해를 확산시키는 측면에서 공급망 공격의 최적 표적으로 부상했다.
4. 영향 분석: 제조·엔지니어링 산업의 데이터 익션 및 이중 압박 리스크
4.1 핵심 IP·도면·BOM 데이터의 익션 가치
PTC Windchill과 FlexPLM에는 자동차·항공·전자 등 산업 분야의 3D 도면, 시뮬레이션 결과, BOM, 공급 단가 정보가 저장된다. 이러한 데이터는 경쟁사 입찰 전략, 원가 구조, 신제품 일정의 직접적 추론을 가능하게 하므로, 단순 고객 개인정보 유출과는 차원이 다른 경제적 가치를 가진다. 이 때문에 클0p 계열은 암호화 이전 단계에서 이미 대량 데이터를 외부로 송출한 뒤, 협박의 수단으로 활용하는 전형적 이중 압박 시나리오를 적용한다.
4.2 제조 공급망 단계의 다운스트림 피해 시나리오
단일 OEM이 침해될 경우 PLM에 등록된 다수의 1차·2차 협력사가 동시에 도면 유출威胁에 노출된다. 실제 침해가 발생할 경우 협력사 측의 입찰 정보, 금형 설계, 시험 데이터까지 2차 피해가 연쇄될 가능성이 있으며, 규제 산업의 경우 항공·의료기기 인증 문서의 변조 위험까지 고려해야 한다. 업계에서는 PLM 침해가 곧 공급망 전반의 지적재산권 유출로 이어지는 케이스 사례가 늘고 있는 것으로 분석된다.
4.3 로그 모니터링 및 익션 협박 징후 탐지
방어 측의 1차 대응은 WSDL 엔드포인트 접근 로그, Windchill 관리 콘솔 로그인 실패 패턴, 그리고 비정상적인 대량 파일 다운로드 이벤트의 상관 분석이다. 익션 협박 단계에서는 협박 문구 삽입 흔적, Tor·익명 프록시 기반 아웃바운드 트래픽, 그리고 사용자 도메인 외부의 클라우드 스토리지 업로드가 핵심 탐지 신호로 작용한다. SIEM 규칙은 사전 인증 RCE chaining의 시그니처를 기준으로 재작성하고, 익스플로잇 공개 시점부터 72시간 이내 헌팅 쿼리를 집중 적용해야 한다.
5. 전망: 클0p 계열의 향후 표적화 트렌드
5.1 익스플로잇 공개 후 패치 지연 자산의 1차 표적화
클0p 계열은 익스플로잇 공개 후 패치를 즉시 적용하지 못한 자산, 특히 보안 업데이트 주기가 긴 산업용 환경을 우선 공략하는 경향을 보인다. PTC Windchill·FlexPLM과 같이 운영 안정성 유지 차상위에서 패치 적용이 지연되는 경우가 많아, 익스플로잇이 공개된 직후 수일~수주 사이가 가장 위험한窗口區間으로 평가된다.
5.2 PLM·ERP·MES 통합 환경으로 확산될 침해 경로
향후 침해는 PLM 단독 표적에서 ERP·MES로 연계되는 통합 환경으로 확산될 것으로 보인다. PLM에서 확보한 SSO 토큰과 서비스 계정은 ERP 재무·구매 시스템과 MES 생산 스케줄러까지 횡적 이동(lateral movement)을 가능하게 하므로, 초기 침해의 파급력이 과거 파일 전송 솔루션 사례보다 더 광범위해질 수 있다. 보안 담당자는 PLM-ERP-MES 계정 통합 구조를 전제로 한 제로 트러스트 재설계와, 익스플로잇 기반 침해 헌팅 체계를 동시에 강화해야 할 것으로 분석된다.
핵심 시사점
- 표적 이동: 클0p 계열의 공급망 표적이 파일 전송 솔루션에서 PTC Windchill·FlexPLM 같은 산업용 PLM으로 이동했다.
- 기술 핵심: 사전 인증 RCE chaining은 FlexPLM WSDL 정보 유출과 Windchill 로그인 서블릿 결함의 결합으로 구성된다.
- 운영 모델: 데이터 익션까지 결합한 이중 압박 형태로 운영되며, 액세스 브로커와 affiliate의 분업 구조가 침투 속도를 높인다.
- 산업 영향: 핵심 IP·도면·BOM 유출威胁가 OEM을 넘어 다수 협력사로 연쇄 확산될 가능성이 있다.
- 대응 방향: 익스플로잇 공개 후 72시간 이내 헌팅 쿼리 적용과 PLM-ERP-MES 통합 환경 제로 트러스트 재설계가 핵심이다.
참고 자료: