LEMURLOOT
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
LEMURLOOT es un implant personalizado de web shell desplegado por el grupo Cl0p. Su función principal es el robo masivo de datos y la extorsión, aprovechando vulnerabilidades en plataformas de transferencia de archivos. La evidencia lo describe como una herramienta de propósito específico para ejecutar código arbitrario y cosechar credenciales.
Cómo llega
Entra explotando la vulnerabilidad CVE-2026-12569 en PTC Windchill. El despliegue ocurre tras campañas de explotación masiva que aprovechan debilidades arquitectónicas en plataformas de transferencia de archivos.
Qué hace una vez dentro
Ejecuta código arbitrario en memoria mediante un cargador de clases Java personalizado. Realiza cosecha de credenciales y enumeración de bases de datos. Descifra credenciales desde el keystore de Windchill, incluyendo contraseñas de administradores LDAP que permiten compromiso empresarial. Su diseño se mezcla con tráfico legítimo para dificultar la detección.
A quién ataca
Apunta a PTC Windchill. El objetivo principal es robar propiedad intelectual sensible y credenciales corporativas para facilitar la extorsión masiva.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Active Scanning | T1595 |
| Reconocimiento | Vulnerability Scanning | T1595.002 |
| Desarrollo de recursos | Acquire Infrastructure | T1583 |
| Desarrollo de recursos | Virtual Private Server | T1583.003 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Persistencia | Server Software Component | T1505 |
| Persistencia | Web Shell | T1505.003 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Valid Accounts | T1078 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Recolección | Data from Local System | T1005 |
| Recolección | Data from Information Repositories | T1213 |
| Recolección | Archive Collected Data | T1560 |
| Comando y control | Application Layer Protocol | T1071 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Data Encoding | T1132 |
| Comando y control | Encrypted Channel | T1573 |
| Exfiltración | Automated Exfiltration | T1020 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Exfiltración | Exfiltration Over Web Service | T1567 |
| Impacto | Data Destruction | T1485 |
| Impacto | Data Encrypted for Impact | T1486 |
| Impacto | Service Stop | T1489 |
| Impacto | Inhibit System Recovery | T1490 |
| Impacto | Defacement | T1491 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2021-27101 | Accellion FTA | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-34362 | Progress MOVEit Transfer | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-12569 | PTC Windchill and FlexPLM | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
