NOMBRE
clop — Ransomware de 2019 del grupo TA505, especializado en explotar cero-days de plataformas de transferencia de ficheros (Accellion, GoAnywhere, MOVEit) para robos masivos de datos.
alias: Cl0p, CryptoMix (origen)
SINOPSIS
clop --tipo ransomware --año 2019 --severidad crítica --plataforma "Windows" --autor "TA505"
DESCRIPCIÓN
Clop (o Cl0p), operado por TA505, evolucionó de la familia CryptoMix. Se hizo famoso por campañas de extorsión a gran escala aprovechando vulnerabilidades cero-day en software de transferencia gestionada de ficheros: Accellion FTA (2020-21), GoAnywhere MFT (CVE-2023-0669) y, sobre todo, MOVEit Transfer (CVE-2023-34362, 2023), que afectó a miles de organizaciones.
PROPAGACIÓN
Explotación de cero-days en plataformas de transferencia de ficheros; web shells (DEWMODE, LEMURLOOT).
CARGA ÚTIL
Exfiltración masiva de datos + cifrado; extorsión con publicación en su sitio.
PREVENCIÓN
Parcheo urgente de MFT; segmentación; monitorización; copias inmutables.
MITIGACIÓN
Respuesta a incidentes; asumir la fuga; aplicar los parches de los proveedores.
INDICADORES
- autor / origen
- TA505
- país
- Rusia (presunto)
- etiquetas
- cero-daydoble extorsiónransomwaretransferencia de ficheros
Web shells LEMURLOOT/DEWMODE; extensión .clop; sitio «CL0P^_- LEAKS».
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Análisis técnico en MITRE ATT&CK · MITRE ATT&CK