CL0P
Aliassen: Clop, Cl0p, TA505 linked CL0P
Beoordelingsdatum bronprofiel: 2026-05-31
Toegevoegd aan de bronregistratie: 2020-03-13 · Bronmomentopname: 2026-09-15
De bronmetadata is niet onafhankelijk geverifieerd. De registratiedatum is niet noodzakelijk de eerste aanvalsdatum. Bronsamenvattingen zijn waar nodig automatisch vertaald; de feed kan verouderde beoordelingen bevatten.
Onderzoeksstatus: Bestaand onderzocht dossier
Managementsamenvatting
CL0P is vooral relevant als data-afpersingsgroep die kwetsbaarheden in datarijke enterprise- en file-transferplatformen op grote schaal misbruikt.
CL0P moet worden behandeld als datalek- en ketenrisicoprofiel. Bij CL0P is de primaire schade vaak niet encryptie, maar exploitatie van een gedeelde applicatie, snelle data-exfiltratie en publicatiedruk.
Laatste vijf bekende slachtofferclaims
Opgeslagen claims laden…
Dit zijn publieke claims die aan de groep worden toegeschreven, geen onafhankelijk bevestigde inbraken. Datums betreffen publicatie of ontdekking, niet noodzakelijk de aanvalsdatum.
Managementsamenvatting
CL0P onderscheidt zich van klassieke ransomwaregroepen doordat de meest zichtbare campagnes sterk draaien om schaalbare datadiefstal via kwetsbare enterpriseapplicaties. De MOVEit Transfer-campagne rond CVE-2023-34362 is het belangrijkste voorbeeld: CISA en FBI beschreven hoe de groep een SQL-injection zero-day misbruikte en een webshell, LEMURLOOT, inzette op MOVEit Transfer-webapplicaties.
Voor bestuur is dit profiel belangrijk omdat impact vaak via ketens ontstaat. Een organisatie kan direct geraakt zijn door een eigen kwetsbare installatie, maar ook indirect doordat data bij een leverancier, HR-dienstverlener, onderwijsinstelling, zorgpartner of transferplatform stond. Daardoor is de eerste vraag niet of endpoints versleuteld zijn, maar welke data in de kwetsbare applicatie aanwezig was en wie daarover geinformeerd moet worden.
CL0P-achtige incidenten vragen een andere crisisaanpak dan netwerkbrede encryptie. De technische focus ligt op applicatieforensiek, datastromen, patchvensters, webshellactiviteit, loggingretentie en dataclassificatie. Communicatie, juridische beoordeling en ketenmanagement zijn vanaf het begin onderdeel van het incident.
Groepering en ontwikkeling
CL0P, ook geschreven als Clop of Cl0p, is al jaren zichtbaar in ransomware- en afpersingsrapportage. De groep wordt in publieke analyses vaker gekoppeld aan grootschalige exploitatie van datarijke software dan aan puur opportunistische endpointencryptie. Campagnes tegen managed file-transferoplossingen tonen een voorkeur voor systemen waar veel gevoelige data doorheen stroomt.
De groep is campagnegedreven. Dat betekent dat IOC’s, kwetsbaarheden, webshells en slachtoffers per campagne moeten worden gescheiden. Een CL0P-vermelding zonder context zegt weinig. De onderzoeker moet vastleggen welke kwetsbaarheid of applicatie betrokken is, welk exploitatievenster relevant is en welke data in dat venster benaderbaar was.
Voor organisaties is CL0P een belangrijk profiel omdat het direct aansluit op exposuremanagement. Organisaties denken vaak in endpoints en gebruikers, maar CL0P laat zien dat een enkele internet-facing applicatie of leverancier voldoende kan zijn voor een groot datalek. Assetinventarisatie en leveranciersexposure zijn daarom kernonderdelen van verdediging.
Werkwijze en aanvalsketen
De aanvalsketen begint bij een internet-facing applicatie. Onderzoek webserverlogs, applicatielogs, database-events, upload- en downloadhistorie, API-calls, tijdelijke bestanden en webrootwijzigingen. Bij MOVEit-achtige casussen zijn SQL-fouten, afwijkende requests, webshellbestanden, ongebruikelijke sessies en grote downloads belangrijke sporen.
Na exploitatie kan de actor webshellfunctionaliteit gebruiken voor verkenning en datatoegang. De forensische vraag is welke data via het applicatieproces bereikbaar was. Dat kan sterk afwijken van wat normale gebruikers zien. Controleer serviceaccounts, applicatierechten, opslagpaden, tijdelijke directories, exportfuncties en gekoppelde databases.
Exfiltratie moet worden gereconstrueerd via applicatie- en netwerkgegevens. Zoek naar downloadpieken, atypische user agents, foreign IP-adressen, lange sessies, grote response sizes, onbekende bestanden en activiteit buiten normale transferprocessen. Als logs ontbreken, moet dat expliciet in het verslag staan; ontbrekende logdekking is zelf een risico.
Afpersing volgt vaak later. De actor kan slachtoffers clusteren en pas na analyse of publicatievoorbereiding contact zoeken. Daardoor kan er tijd zitten tussen exploitatie, datadiefstal en communicatie. Een incidenttijdlijn moet die fasen gescheiden tonen.
Aanvalspatroon uit publieke cases
CL0P is vooral bekend door datadiefstalcampagnes tegen datarijke enterpriseplatformen. De MOVEit-campagne rond CVE-2023-34362 is het bekendste voorbeeld: geen klassieke domeinbrede encryptie als eerste signaal, maar exploitatie van een internet-facing transferapplicatie, webshellgebruik en snelle dataverzameling.
De aanval begint bij de applicatielaag. De actor misbruikt een kwetsbaarheid, bereikt bestanden of databases via het applicatieproces en haalt data weg die normaal door klanten, leveranciers of interne afdelingen wordt uitgewisseld. Daarom moet verdediging kijken naar transferportalen, serviceaccounts, downloadvolumes en webserverlogs.
CL0P laat zien dat ransomware-afpersing niet altijd encryptie nodig heeft. Als gevoelige data uit een transferplatform wordt gestolen, ontstaat meldplicht, reputatierisico en ketenimpact zonder dat endpoints geraakt zijn.
De belangrijkste verdedigingsles is asset- en datakennis. Organisaties moeten weten welke file-transferplatformen zij gebruiken, welke data daar staat, hoelang die data blijft staan, welke leveranciers toegang hebben en welke logs beschikbaar zijn wanneer een zero-day bekend wordt.
Bekende IOC's en artefacten
CISA AA23-158A koppelt de MOVEit-campagne aan CVE-2023-34362 en de LEMURLOOT webshell. Deze combinatie is een kernartefact voor CL0P-onderzoek rond MOVEit Transfer.
Voor MOVEit-achtige onderzoeken zijn verdachte bestanden in webdirectories, afwijkende SQL-fouten, onbekende requests naar kwetsbare endpoints en ongebruikelijke downloadvolumes belangrijker dan één endpointhash.
Een concreet verdedigingsartefact is het exploitatievenster: was de MOVEit-server publiek bereikbaar voordat de patch of mitigatie werd toegepast, en bestaan webserver- en applicatielogs uit die periode nog?
CL0P-IOC’s zijn campagnegebonden. Een LEMURLOOT- of MOVEit-indicator is niet automatisch toepasbaar op iedere CL0P-claim. Voor bezoekers betekent dit: zoek eerst het betrokken platform, daarna pas de indicatoren.
Slachtoffers en historische context
De MOVEit-campagne raakte wereldwijd overheden, onderwijsinstellingen, financiele instellingen, zorgorganisaties, leveranciers en grote ondernemingen. Het patroon is ketengericht: data van veel organisaties kan door een beperkt aantal software- of dienstverleningsknooppunten lopen. Daarom moet slachtofferhistorie naast namen ook de relatie tot het kwetsbare platform vastleggen.
Registreer per slachtofferclaim of het om directe installatie, leverancierimpact, dataverwerker of downstream klant gaat. Voeg claimdatum, bron, betrokken platform, datatypes, exploitatievenster en publicatiestatus toe. Dit maakt CL0P-data bruikbaar voor klantvragen en sectorwaarschuwingen.
Detectie en opvolging
Verdedigingsprioriteiten zijn assetinventarisatie van file-transferplatformen, snelle patching, internet-exposurecontrole, WAF- en proxylogging, applicatie-auditing, dataclassificatie, least privilege voor serviceaccounts en leverancierscontracten met concrete logging- en meldafspraken. Test of kritieke applicatielogs lang genoeg worden bewaard.
Bij een CL0P-signaal moet een organisatie snel vaststellen of klanten de genoemde software gebruiken, of exploitatievensters overlappen met blootstelling, of leveranciers geraakt zijn en welke data in transfer stond. De belangrijkste output is geen malwareanalyse, maar datarisico en ketenimpact.
Verdiepend forensisch dossier
CL0P-onderzoek verschilt fundamenteel van klassieke ransomwareforensiek. De eerste vraag is niet welke endpoints encrypted zijn, maar welke applicatie data beschikbaar stelde aan de actor. Bij MOVEit-achtige campagnes ligt het zwaartepunt in webserverlogs, applicatielogs, database-events en transferhistorie. Als die bronnen ontbreken of te kort worden bewaard, moet het verslag uitleggen welke conclusies daardoor niet hard gemaakt kunnen worden.
Applicatiecontext bepaalt de impact. Een file-transferplatform bevat vaak tijdelijke bestanden, maar die tijdelijke bestanden kunnen juist de gevoeligste data van de organisatie bevatten: salarisbestanden, medische gegevens, klantlijsten, juridische documenten, contracten of exports uit kernsystemen. De onderzoeker moet daarom samen met proceseigenaren bepalen welke datastromen door het platform liepen tijdens het exploitatievenster.
Webshellonderzoek moet zorgvuldig gebeuren. Zoek naar onbekende bestanden, afwijkende timestamps, verdachte parameters, vreemde responsegroottes en processen die niet passen bij normaal applicatiegedrag. De aanwezigheid van een webshell is belangrijk, maar de afwezigheid ervan sluit exploitatie niet altijd uit wanneer systemen al opgeschoond of gepatcht zijn. Daarom hoort patch- en cleanup-timing in de tijdlijn.
Ketenanalyse is bij CL0P onmisbaar. Vraag leveranciers of zij de kwetsbare software gebruikten, wanneer zij patchten, welke data van de klant aanwezig was en welke logging zij kunnen delen. Een organisatie kan juridisch of reputatief geraakt zijn zonder dat eigen systemen zijn gecompromitteerd. Het dossier moet directe en indirecte impact apart behandelen.
Datalekvalidatie vraagt bewijsdiscipline. Een actorclaim of sample is relevant, maar niet genoeg om het volledige datavolume vast te stellen. Combineer samples, transferlogs, applicatiepermissies, databasequeries, bestandslijsten en netwerkdata. Rapporteer in categorieen: bevestigd gelekt, waarschijnlijk benaderd, mogelijk aanwezig en niet aangetoond. Dat voorkomt overschatting en onderschatting.
Voor preventie moet CL0P leiden tot structurele vragen over software supply chain en applicatiebeheer. Welke internet-facing dataplatformen bestaan er, wie is eigenaar, hoe snel worden zero-days opgevolgd, welke noodprocedure haalt systemen tijdelijk offline, en hoe lang zijn logs beschikbaar? Die vragen zijn de werkelijke verdedigingswaarde van dit profiel.
Waar u op moet letten
CL0P verschilt van veel klassieke ransomwaregroepen omdat de schade vaak begint bij een datarijke applicatie. Let op kwetsbare file-transferplatformen, webapplicaties, upload- en downloadportalen, databasekoppelingen en leverancierssystemen waar gevoelige data tijdelijk of structureel doorheen loopt.
Belangrijke signalen zijn verdachte webrequests, SQL-fouten, onbekende bestanden in webdirectories, afwijkende downloadvolumes, ongebruikelijke API-calls, onverwachte serviceaccountactiviteit en datastromen buiten normale transferpatronen. Endpointtelemetrie alleen is bij CL0P vaak onvoldoende.
Bij CL0P is de vraag niet alleen of uw eigen netwerk is versleuteld. De vraag is welke data via een kwetsbare applicatie bereikbaar was, of een leverancier die data verwerkte, en of logging lang genoeg beschikbaar is om exfiltratie te reconstrueren.
Hoe u zich wapent tegen CL0P
Maak een actueel overzicht van alle file-transfer- en dataplatformen. Noteer eigenaar, internet-exposure, versie, patchproces, logging, serviceaccounts en datatypes. Zonder dit overzicht is een zero-daycampagne nauwelijks beheersbaar.
Beperk data in transferomgevingen. Verwijder oude bestanden, beperk retentie, gebruik least privilege voor serviceaccounts en monitor grote downloads. Een kwetsbaarheid wordt veel ernstiger wanneer tijdelijke mappen maanden gevoelige exports bevatten.
Leg leveranciersafspraken vast. Vraag welke software zij gebruiken, hoe snel zij patchen, welke logs zij bewaren en hoe zij datalekken melden. CL0P laat zien dat ketenimpact vaak buiten de eigen technische omgeving begint.
Slachtofferpatroon en lessen
CL0P-campagnes, zoals MOVEit, raakten veel organisaties tegelijk via gedeelde software. Slachtoffers kwamen uit overheid, onderwijs, zorg, financiële dienstverlening, HR-diensten en grote ondernemingen. De les is dat één kwetsbaar dataplatform een massaal datalek kan veroorzaken.
Voor bezoekers is de belangrijkste les dat afpersing zonder encryptie even ernstig kan zijn. Wanneer persoonsgegevens, contracten, salarisdata of zorginformatie wordt gestolen, is de crisis al reëel zonder dat één server versleuteld is.
Gebruik CL0P als aanleiding om data governance en software supply chain samen te bekijken. Welke gevoelige data staat waar, welke leveranciers verwerken die data, welke logs bestaan en wie kan binnen 24 uur aantonen wat is gedownload?
Een praktische check is om vandaag nog te bepalen welke transferportalen publiek bereikbaar zijn en welke gevoelige bestanden daar de afgelopen dertig dagen hebben gestaan.
Compromitteringsindicatoren (IOC’s)
Indicatoren zijn historische waarnemingen, geen bewijs van een huidige infectie. Controleer bron, ouderdom en context vóór detectie of blokkering; legitieme beheertools kunnen foutpositieven veroorzaken.
| Type | Waarde | Bron | Context |
|---|---|---|---|
| cve | CVE-2023-34362 | CISA AA23-158A | MOVEit Transfer SQL injection exploited in CL0P campaign |
| webshell | LEMURLOOT | CISA AA23-158A | Webshell associated with MOVEit exploitation |
| artifact | unexpected files in MOVEit web directories | CISA AA23-158A | Application-layer indicator for MOVEit-focused investigation |
| behavior | unusual MOVEit download volume or atypical API/web requests | CISA AA23-158A | Data-theft pattern rather than endpoint-encryption signal |
Bronnen
Onderbouwing en beperkingen
Attributie beschrijft de beoordeling van de bron, niet een geverifieerde identiteit. Een vermelding op een leksite bewijst op zichzelf geen versleuteling, datadiefstal, specifieke kwetsbaarheid of affiliaterelatie. Ontbrekende informatie blijft expliciet benoemd.