Depuis 2019, Cl0p applique une méthode qui lui réussit. Il exploite une vulnérabilité dans un logiciel d’entreprise largement déployé, vole les données de dizaines d’organisations au cours d’une même campagne, puis les contraint à payer en menaçant de publier leurs informations. En 2026, le groupe a reproduit ce schéma en s’attaquant aux plateformes de gestion du cycle de vie produit PTC Windchill et FlexPLM. L’équipe CTI de GLIMPS a réuni dans une fiche d’identité les éléments qui permettent de reconnaître et de détecter cette menace.
Le bouton de téléchargement (libre) est à la fin de l’article.
Qui est le groupe de ransomware Cl0p ?
Cl0p, également écrit Clop ou CL0P, est un groupe cybercriminel de ransomware actif depuis février 2019, dont le code est considéré comme un variant de la famille CryptoMix. Le groupe est rattaché à la sphère russophone. Son ransomware est programmé pour ne pas s’exécuter sur les systèmes en langue russe, et ses communications contiennent des éléments en russe. Cl0p s’est fait connaître par l’exploitation massive de failles dans des logiciels d’entreprise, en particulier des solutions de transfert de fichiers. Les campagnes visant MOVEit, Cleo, GoAnywhere et Oracle E-Business Suite lui ont été attribuées au cours des dernières années (SecurityAffairs, 21 août 2026).
CVE-2026-12569 : la campagne contre PTC Windchill et FlexPLM
La campagne la plus récente cible les instances PTC Windchill et FlexPLM exposées sur Internet. Ces deux logiciels servent aux industriels à gérer les données de conception et de fabrication de leurs produits, ce qui en fait des réservoirs de propriété intellectuelle. Les attaquants exploitent la vulnérabilité critique CVE-2026-12569, pour laquelle PTC a commencé à publier des correctifs le 17 juin 2026 ; la CISA l’a ajoutée à son catalogue des vulnérabilités exploitées le 25 juin (GovInfoSecurity). Une fois l’accès obtenu, des webshells JSP sont déployés pour se maintenir sur les serveurs et exfiltrer les données. Le 21 août 2026, Cl0p revendiquait plus de 40 organisations ciblées par ce biais (SecurityAffairs).
Une extorsion qui peut se passer du chiffrement
Cl0p privilégie souvent l’exfiltration de données sans chiffrement systématique, la menace de publier les informations volées sur son site de fuite suffit à faire pression sur la victime. Le groupe dispose néanmoins d’un ransomware opérationnel, développé uniquement pour Windows, dont la fiche détaille le mécanisme de chiffrement, la persistance et les techniques d’évasion des défenses.