DEWMODE
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
DEWMODE es un implante web shell personalizado desplegado por el grupo de amenazas Clop. Se reporta desde agosto de 2026 como parte de una campaña de extorsión masiva. Su función principal es el robo de datos mediante la explotación de CVE-2026-12569 en PTC Windchill. Incluye capacidades integradas para cosechar credenciales, enumerar bases de datos y ejecutar código arbitrario en memoria.
Cómo llega
Entra explotando la vulnerabilidad CVE-2026-12569 en PTC Windchill. La evidencia no menciona señuelos específicos ni otros vectores de entrada iniciales. Se asocia con CVE-2021-27101 y CVE-2023-34362 en la base de datos, aunque el pulso detalla únicamente el uso de CVE-2026-12569 para el despliegue.
Qué hace una vez dentro
Cosecha credenciales almacenadas en el keystore de Windchill, incluyendo contraseñas de administradores LDAP que permiten compromiso empresarial. Enumera bases de datos para identificar información valiosa. Ejecuta código arbitrario en memoria mediante un cargador de clases Java personalizado. Su diseño específico para la aplicación permite que la actividad maliciosa se mezcle con el tráfico legítimo, dificultando la detección.
A quién ataca
Apunta a organizaciones que utilizan PTC Windchill, específicamente explotando la vulnerabilidad CVE-2026-12569. El objetivo principal es el robo de propiedad intelectual sensible y la extorsión masiva. No se especifican sectores industriales o regiones geográficas adicionales en la evidencia proporcionada.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Persistencia | Web Shell | T1505.003 |
| Sigilo | Obfuscated Files or Information | T1027 |
| Sigilo | Valid Accounts | T1078 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Acceso a credenciales | OS Credential Dumping | T1003 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Movimiento lateral | Exploitation of Remote Services | T1210 |
| Recolección | Data from Local System | T1005 |
| Recolección | Data from Information Repositories | T1213 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Data Encoding | T1132 |
| Comando y control | Encrypted Channel | T1573 |
| Exfiltración | Automated Exfiltration | T1020 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
| Impacto | Data Destruction | T1485 |
| Impacto | Data Encrypted for Impact | T1486 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2021-27101 | Accellion FTA | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-34362 | Progress MOVEit Transfer | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-12569 | PTC Windchill and FlexPLM | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
