CL0P
Aliasnamen: Clop, Cl0p, TA505 linked CL0P
Prüfdatum des Quellprofils: 2026-05-31
Zum Quellenregister hinzugefügt: 2020-03-13 · Quellenstand: 2026-09-15
Die Quellenmetadaten sind nicht unabhängig verifiziert. Das Registrierungsdatum ist nicht unbedingt das Datum des ersten Angriffs. Quellenzusammenfassungen werden bei Bedarf maschinell übersetzt; der Feed kann veraltete Einschätzungen enthalten.
Forschungsstand: Vorhandenes recherchiertes Dossier
Management-Zusammenfassung
CL0P ist besonders relevant als Datenerpressungsgruppe, die Schwachstellen in datenreichen Enterprise- und File-Transfer-Plattformen in grossem Massstab missbraucht.
CL0P sollte als Datenleck- und Lieferkettenrisikoprofil behandelt werden. Bei CL0P liegt der primaere Schaden oft nicht in Verschluesselung, sondern in Ausnutzung einer geteilten Anwendung, schneller Datenexfiltration und Publikationsdruck.
Die letzten fünf bekannten Opferbehauptungen
Gespeicherte Meldungen werden geladen…
Dies sind öffentliche Behauptungen, die der Gruppe zugeschrieben werden, keine unabhängig bestätigten Einbrüche. Die Daten bezeichnen Veröffentlichung oder Entdeckung, nicht unbedingt den Angriff.
Managementzusammenfassung
CL0P unterscheidet sich von klassischen Ransomwaregruppen, weil die sichtbarsten Kampagnen stark um skalierbaren Datendiebstahl ueber verwundbare Enterprise-Anwendungen kreisen. Die MOVEit-Transfer-Kampagne rund um CVE-2023-34362 ist das wichtigste Beispiel.
Fuer die Leitung ist dieses Profil wichtig, weil Impact oft ueber Ketten entsteht. Eine Organisation kann direkt durch eine eigene verwundbare Installation betroffen sein oder indirekt, weil Daten bei einem Lieferanten, HR-Dienstleister, Bildungspartner, Gesundheitspartner oder Transferplattform lagen.
CL0P-aehnliche Incidents verlangen eine andere Krisenreaktion als netzwerkweite Verschluesselung. Der technische Fokus liegt auf Applikationsforensik, Datenfluesse, Patchfenster, Webshell-Aktivitaet, Log-Retention und Datenklassifikation.
Gruppe und Entwicklung
CL0P, auch Clop oder Cl0p geschrieben, ist seit Jahren in Ransomware- und Erpressungsberichten sichtbar. Oeffentliche Analysen verbinden die Gruppe eher mit grossflaechiger Ausnutzung datenreicher Software als mit rein opportunistischer Endpoint-Verschluesselung.
Die Gruppe ist kampagnengetrieben. IOCs, Schwachstellen, Webshells und Opfer muessen pro Kampagne getrennt werden.
Fuer Organisationen ist CL0P ein wichtiges Exposure-Management-Profil. Eine einzige internet-facing Anwendung oder ein Lieferant kann fuer ein grosses Datenleck reichen.
Methoden und Angriffskette
Die Angriffskette beginnt bei einer internet-facing Anwendung. Untersuchen Sie Webserverlogs, Applikationslogs, Datenbankevents, Upload- und Downloadhistorie, API Calls, temporaere Dateien und Webroot-Aenderungen.
Nach Ausnutzung kann der Actor Webshell-Funktionalitaet fuer Erkundung und Datenzugriff nutzen. Die forensische Frage ist, welche Daten ueber den Applikationsprozess erreichbar waren.
Exfiltration muss ueber Applikations- und Netzwerkdaten rekonstruiert werden. Suchen Sie nach Downloadspitzen, atypischen User Agents, fremden IP-Adressen, langen Sessions, grossen Response Sizes und Aktivitaet ausserhalb normaler Transferprozesse.
Erpressung folgt oft spaeter. Der Actor kann Opfer clustern und erst nach Analyse oder Publikationsvorbereitung Kontakt suchen.
Angriffsmuster aus oeffentlichen Faellen
CL0P ist vor allem durch Datendiebstahlkampagnen gegen datenreiche Enterprise-Plattformen bekannt. Die MOVEit-Kampagne rund um CVE-2023-34362 ist das bekannteste Beispiel.
Der Angriff beginnt auf der Applikationsschicht. Der Actor missbraucht eine Schwachstelle, erreicht Dateien oder Datenbanken ueber den Applikationsprozess und zieht Daten ab.
CL0P zeigt, dass Ransomware-Erpressung nicht immer Verschluesselung braucht. Wenn sensible Daten aus einer Transferplattform gestohlen werden, entstehen Meldepflicht, Reputationsrisiko und Lieferkettenimpact ohne betroffene Endpoints.
Die wichtigste Verteidigungslehre ist Asset- und Datenkenntnis: Welche File-Transfer-Plattformen existieren, welche Daten liegen dort, wie lange bleiben sie, welche Lieferanten haben Zugriff und welche Logs sind verfuegbar?
Bekannte IOCs und Artefakte
CISA AA23-158A verbindet die MOVEit-Kampagne mit CVE-2023-34362 und der LEMURLOOT-Webshell. Diese Kombination ist ein Kernartefakt fuer CL0P-Untersuchungen rund um MOVEit Transfer.
Fuer MOVEit-aehnliche Untersuchungen sind verdaechtige Dateien in Webdirectories, abweichende SQL-Fehler, unbekannte Requests an verwundbare Endpoints und ungewoehnliche Downloadvolumina wichtiger als ein einzelner Endpointhash.
Ein konkretes Verteidigungsartefakt ist das Exploitfenster: War der MOVEit-Server vor Patch oder Mitigation oeffentlich erreichbar, und existieren Webserver- und Applikationslogs aus dieser Zeit noch?
CL0P-IOCs sind kampagnengebunden. Ein LEMURLOOT- oder MOVEit-Indikator gilt nicht automatisch fuer jeden CL0P-Claim.
Opfer und historischer Kontext
Die MOVEit-Kampagne traf weltweit Regierungen, Bildungseinrichtungen, Finanzinstitute, Gesundheitsorganisationen, Lieferanten und grosse Unternehmen.
Erfassen Sie pro Opferclaim, ob es um direkte Installation, Lieferantenimpact, Datenverarbeiter oder Downstream-Kunden geht. Fuegen Sie Claim-Datum, Quelle, Plattform, Datentypen, Exploitfenster und Publikationsstatus hinzu.
Detektion und Nachverfolgung
Verteidigungsprioritaeten sind Assetinventar fuer File-Transfer-Plattformen, schnelles Patching, Internet-Exposure-Kontrolle, WAF- und Proxylogging, Applikationsauditing, Datenklassifikation, Least Privilege fuer Serviceaccounts und Lieferantenvertraege mit konkreten Log- und Meldeabsprachen.
Bei einem CL0P-Signal muss schnell geklaert werden, ob Kunden die genannte Software nutzen, ob Exploitfenster mit Exposure ueberlappen, ob Lieferanten betroffen sind und welche Daten im Transfer standen.
Vertiefendes forensisches Dossier
CL0P-Untersuchung unterscheidet sich grundlegend von klassischer Ransomwareforensik. Die erste Frage ist nicht, welche Endpoints verschluesselt sind, sondern welche Anwendung Daten fuer den Actor verfuegbar machte.
Applikationskontext bestimmt den Impact. Eine File-Transfer-Plattform enthaelt oft temporaere Dateien, die zugleich die sensibelsten Daten der Organisation sein koennen.
Webshell-Untersuchung muss sorgfaeltig erfolgen. Suchen Sie nach unbekannten Dateien, abweichenden Timestamps, verdaechtigen Parametern, ungewoehnlichen Responsegroessen und Prozessen ausserhalb normalen Applikationsverhaltens.
Lieferkettenanalyse ist unverzichtbar. Fragen Sie Lieferanten, ob sie die verwundbare Software nutzten, wann sie patchten, welche Kundendaten vorhanden waren und welche Logs sie teilen koennen.
Datenleckvalidierung verlangt Beweisdisziplin. Kombinieren Sie Samples, Transferlogs, Applikationsrechte, Datenbankqueries, Dateilisten und Netzwerkdaten.
Praevention muss zu strukturellen Fragen fuehren: Welche internet-facing Datenplattformen existieren, wer ist Owner, wie schnell werden Zero-Days bearbeitet und wie lange sind Logs verfuegbar?
Worauf Sie achten sollten
CL0P unterscheidet sich von vielen klassischen Ransomwaregruppen, weil der Schaden oft bei einer datenreichen Anwendung beginnt.
Wichtige Signale sind verdaechtige Webrequests, SQL-Fehler, unbekannte Dateien in Webdirectories, abweichende Downloadvolumina, ungewoehnliche API Calls, unerwartete Serviceaccount-Aktivitaet und Datenfluesse ausserhalb normaler Transfermuster.
Bei CL0P ist die Frage nicht nur, ob das eigene Netzwerk verschluesselt ist, sondern welche Daten ueber eine verwundbare Anwendung erreichbar waren.
Wie Sie sich gegen CL0P wappnen
Erstellen Sie eine aktuelle Uebersicht aller File-Transfer- und Datenplattformen mit Owner, Internet-Exposure, Version, Patchprozess, Logging, Serviceaccounts und Datentypen.
Begrenzen Sie Daten in Transferumgebungen. Entfernen Sie alte Dateien, beschraenken Sie Retention, nutzen Sie Least Privilege fuer Serviceaccounts und ueberwachen Sie grosse Downloads.
Legen Sie Lieferantenabsprachen fest: Welche Software nutzen sie, wie schnell patchen sie, welche Logs bewahren sie und wie melden sie Datenlecks?
Opfermuster und Lehren
CL0P-Kampagnen wie MOVEit trafen viele Organisationen gleichzeitig ueber geteilte Software.
Die wichtigste Lehre ist, dass Erpressung ohne Verschluesselung genauso ernst sein kann.
Nutzen Sie CL0P, um Data Governance und Software Supply Chain gemeinsam zu betrachten.
Eine praktische Pruefung ist, heute festzustellen, welche Transferportale oeffentlich erreichbar sind und welche sensiblen Dateien dort in den letzten dreissig Tagen lagen.
Kompromittierungsindikatoren (IOCs)
Indikatoren sind historische Beobachtungen, kein Beweis für eine aktuelle Infektion. Prüfen Sie Quelle, Alter und Kontext vor Erkennung oder Blockierung; legitime Verwaltungswerkzeuge können Fehlalarme auslösen.
| Typ | Wert | Quelle | Kontext |
|---|---|---|---|
| cve | CVE-2023-34362 | CISA AA23-158A | MOVEit Transfer SQL injection exploited in CL0P campaign |
| webshell | LEMURLOOT | CISA AA23-158A | Webshell associated with MOVEit exploitation |
| artifact | unexpected files in MOVEit web directories | CISA AA23-158A | Application-layer indicator for MOVEit-focused investigation |
| behavior | unusual MOVEit download volume or atypical API/web requests | CISA AA23-158A | Data-theft pattern rather than endpoint-encryption signal |
Quellen
Belege und Einschränkungen
Die Zuordnung beschreibt die Einschätzung der Quelle, keine verifizierte Identität. Ein Eintrag auf einer Leak-Seite allein belegt weder Verschlüsselung noch Datendiebstahl, eine bestimmte Schwachstelle oder eine Affiliate-Beziehung. Fehlende Informationen werden ausdrücklich benannt.