Was ist Clop-Ransomware?

Wichtige Erkenntnisse

• Clop ist eine seit 2019 aktive Ransomware-Operation, die mit den Bedrohungsakteuren TA505 und FIN11 verbunden ist.
• Es spezialisiert sich auf die massenhafte Nutzung von verwalteter Dateiübertragungssoftware und kompromittiert dabei viele Organisationen in einer einzigen Kampagne.
• Clop setzt häufig Datendiebstahl ein, indem er Dateien stiehlt und mit deren Weitergabe droht, anstatt Systeme zu verschlüsseln.
• Die MOVEit-Kampagne im Jahr 2023 betraf Hunderte von Organisationen weltweit durch einen einzigen Zero-Day-Fehler.
• Mikrosegmentierung isoliert internetorientierte Dateiübertragungssysteme und beschränkt die Verbindungen, die zur Datenexfiltration verwendet werden.

Was ist Clop-Ransomware?

Clop ist eine Ransomware-Familie und die dahinterstehende kriminelle Organisation, die mit den finanziell motivierten Gruppen TA505 und FIN11 verbunden ist. Es hat sowohl traditionelle Verschlüsselungsangriffe als auch ausschließlich Datendiebstahl durchgeführt. Clop ist vor allem dafür bekannt, Schwachstellen in weit verbreiteten Dateiübertragungsanwendungen zu finden und auszunutzen, wodurch ein einzelner Fehler gleichzeitig auf viele Opfer zugreifen kann.

Clop tauchte erstmals im Februar 2019 auf und ist seitdem in gewissem Umfang aktiv geblieben. Eine der jüngsten Kampagnen war eine groß angelegte Erpressungsaktion gegen Kunden der Oracle E-Business Suite im Jahr 2025, wie von der Google Threat Intelligence Group (GTIG) berichtet wurde.

Wie funktioniert Clop-Ransomware?

Clop funktioniert, indem es internetfähige Dateiübertragungssoftware nutzt, um Daten in großem Maßstab zu stehlen. Anstatt sich auf breit angelegtes Phishing und manuelle Bewegungen zu verlassen, konzentrieren sich Clop-Kampagnen auf Zero-Day-Schwachstellen in verwalteten Dateiübertragungsprodukten (MFT). Wenn Betreiber einen nutzbaren Fehler finden, setzen sie Webshells auf das exponierte Gerät ein, greifen auf die gespeicherten Daten auf und exfiltrieren es. Die Opfer erhalten daraufhin Erpressungsforderungen mit Bezug auf die gestohlenen Akten.

So dokumentierten Forscher beispielsweise, wie Clop während einer bemerkenswerten MOVEit-Kampagne im Jahr 2023 eine benutzerdefinierte Hintertür namens LEMURLOOT einsetzte, um Zugriff zu behalten. Sobald die Daten extrahiert waren, veröffentlichte die Gruppe in der Regel die gestohlenen Dateien auf einer Dark-Web-Leak-Website, um Opfer unter Druck zu setzen, die sich weigerten zu zahlen.

Dieses Modell konzentriert das Risiko auf die Systeme, die am Netzwerkrand liegen, und auf die Verbindungen, die diese Systeme zu internen Datenspeichern haben. Ein exponiertes Dateiübertragungsgerät mit großer interner Reichweite wird zu einem einzelnen Verlustpunkt in großem Maßstab.

Was waren bemerkenswerte Clop-Angriffe?

Clop war verantwortlich für mehrere der größten Datendiebstahl-Kampagnen, die je dokumentiert wurden. Im Jahr 2023 nutzte es eine Zero-Day-Schwachstelle im MOVEit Transfer-Produkt aus, die Hunderte von Organisationen aus Regierung, Finanzen, Gesundheitswesen und anderen Bereichen gefährdete. Frühere Kampagnen nutzten das Accellion File Transfer Appliance und GoAnywhere MFT. Jede Kampagne folgte demselben Muster: Ein Fehler in weit verbreiteter Software, der schnell bei vielen Opfern ausgenutzt wurde.

Ist Clop-Ransomware noch aktiv?

Clop-Ransomware bleibt aktiv. Es erscheint weiterhin als eine der produktivsten Ransomware-Operationen und hat weiterhin internetbezogene Unternehmensanwendungen, historisch gesehen Dateiübertragungssoftware, mit neuen Exploitation-Kampagnen ins Visier genommen. Seine Persistenz spiegelt die Wirksamkeit des Massenausbeutungsmodells wider, das viele Opfer aus einer einzigen Verwundbarkeit mit relativ geringem Aufwand pro Ziel hervorbringt.

Wie haben sich Clop-Ransomware-Taktiken entwickelt?

Clop begann nicht als Massenausbeutungsinstrument. Die TA505-Angreifer, die Clop entwickelten, verwendeten in ihren Anfangstagen bewährte Taktiken. Sie verschickten Phishing-E-Mails mit bösartigen Anhängen, die Loader namens "Get2" starteten, die dann weitere Malware anzogen. In vielen Fällen stahlen die Betreiber Zugangsdaten oder kompromittierten Fernzugriffsdienste, um tiefer ins Netzwerk vorzudringen.

Die frühen Kampagnen beinhalteten sowohl das Verschlüsseln von Dateien als auch den Diebstahl von Daten, und die Betreiber drohten zudem, Daten öffentlich zu machen, falls das Opfer nicht zahle. Diese dreigleisige Methode, die Dateien zu sperren, die Daten zu stehlen und mit der Offenlegung der Daten zu drohen, definierte Clops Angriffsstil in den ersten Jahren.

Eine bemerkenswerte Taktikänderung erfolgte, als Clops Betreiber begannen, nach Zero-Day-Schwachstellen in MFT-Softwareanwendungen zu suchen, anstatt weit verbreitete Phishing-Taktiken einzusetzen. GoAnywhere MFT und MOVEit Transfer wurden die beiden Hauptkanäle dieses neuen Ansatzes. Tatsächlich wurden Hunderte von Organisationen von der einzigen MOVEit-Kampagne betroffen. Viele dieser neueren Kampagnen haben die Verschlüsselung komplett umgangen und den Angriff allein durch Datendiebstahl monetarisiert. Eine Schwachstelle, die gegen jede offengelegte Instanz derselben Software eingesetzt wurde, erledigt nun die Arbeit, die früher Tausende einzelner Phishing-E-Mails erforderte.

Was sollten Sie nach einem Clop-Ransomware-Angriff tun?

Nach einem Clop-ähnlichen Ransomware-Angriff ist die Geschwindigkeit, mit der Sie handeln, am wichtigsten. Der erste und wichtigste Schritt besteht darin, alle betroffenen Dateiübertragungsanwendungen sowie alle anderen Systeme, die Anzeichen einer Kompromittierung zeigen, zu isolieren. Dies ist die erste Maßnahme, um die Verletzung einzudämmen und den Zugang des Angreifers abzuschneiden, bevor sie sich weiter ausbreiten können.

Als Nächstes verwenden Sie alle Vorfallreaktionsprotokolle, die Ihre Teams für Datenexfiltrationsangriffe entwickelt haben, nicht nur für die Verschlüsselung, die typischerweise einen Ransomware-Angriff definiert. Das könnte wie folgt aussehen:

• Stellen Sie sicher, dass alle kompromittierten Konten deaktiviert sind und aktualisieren Sie alle Zugangsdaten und Zugriffstoken, die mit diesen Konten verknüpft sind. Blockieren Sie außerdem alle bekannten bösartigen IPs oder Domains, die mit der Clop-Kampagne verknüpft sein könnten.
• Bevor Sie bösartige Dateien löschen oder Systeme neu aufbauen, sollten Sie alle Protokollinformationen, Speicheraufnahmen und andere forensische Beweise erfassen. Es ist verlockend, die Sache so schnell wie möglich zu bereinigen, aber das könnte die Akte zerstören, die Sie für Untersuchungen und rechtliche Schritte benötigen.
• Identifizieren Sie genau, auf welche Systeme zugegriffen wurden und welche Daten exfiltriert wurden, und identifizieren Sie alle Nutzer oder Partner, die möglicherweise betroffen waren.
• Schließlich sollten Sie jedes System, das durch den Ransomware-Angriff kompromittiert wurde, gründlich patchen oder neu aufbauen. Stellen Sie dabei sicher, dass Sie alle regulatorischen, Kunden- und Strafverfolgungsbenachrichtigungen ausfüllen, die Ihr Vorfall auslöst.

Im Wesentlichen handelt es sich dabei um eine Triage, die die Blutung stoppen und das Ausmaß des Schadens dokumentieren soll. Allerdings adressiert es nicht die zugrundeliegende Exposition, die es den Angreifern ermöglichte, eine verwundbare Anwendung auszunutzen, die Zugang zu mehreren Bereichen Ihrer Umgebung hatte. Die Bekämpfung dieser strukturellen Schwachstellen und die Begrenzung dessen, was jedes System erreichen kann, ist die Korrekturmaßnahme nach der Triage.

Wie hält man einen Clop-ähnlichen Angriff ein?

Man verhindert einen Clop-ähnlichen Cyberangriff , indem man internetbezogene Dateiübertragungssysteme isoliert und streng einschränkt, was sie erreichen können. Da Clop exponierte Geräte anvisiert und dann Daten exfiltriert, reduziert die Begrenzung der internen Reichweite und ausgehenden Verbindungen dieser Systeme sowohl den Zugriff als auch den Verlust.

Mikrosegmentierungslösungen platzieren Dateiübertragungsgeräte in ihrer eigenen isolierten Zone und erlauben nur die spezifischen Verbindungen, die sie benötigen. Ein kompromittiertes Gerät kann sich nicht in die größere Umgebung einstellen, und Kontrollen des ausgehenden Verkehrs schränken die Wege ein, die für gestohlene Daten verwendet werden. Transparenz in den echten Verkehr zeigt auch unerwartete Verbindungen aus einem Randsystem, was oft das erste Anzeichen für Ausnutzung ist. So sieht Breach Containment aus, wenn es auf eine exfiltrationsfokussierte Bedrohung angewendet wird.

Häufig gestellte Fragen zu Clop-Ransomware

Welche Art von Malware ist Clop?

Clop ist Ransomware, wobei viele seiner Kampagnen auf Datendiebstahl und Erpressung setzen, anstatt die Opfersysteme zu verschlüsseln.

Wie gelingt es Clop, so viele Organisationen gleichzeitig zu kompromittieren?

Clop nutzt Zero-Day-Schwachstellen in weit verbreiteter verwalteter Dateiübertragungssoftware aus, die es ermöglicht, mit einer einzigen Schwachstelle vielen Organisationen in einer Kampagne Zugang zu ermöglichen.

Ist Clop noch aktiv?

Ja. Clop ist weiterhin eine aktive Ransomware-Operation, und die Bedrohungsakteure hinter der Gruppe führen weiterhin groß angelegte Ausnutzungskampagnen gegen internetbezogene Unternehmensanwendungen durch, historisch gesehen Dateiübertragungssoftware.

Kann Mikrosegmentierung einen Clop-ähnlichen Angriff stoppen?

Ja. Mikrosegmentierung isoliert internetfähige Dateiübertragungssysteme und begrenzt den Schaden, falls eine dieser Anwendungen ausgenutzt wird. Außerdem begrenzt Mikrosegmentierung die Anzahl potenzieller Wege, die Angreifern zur Verfügung stehen, wenn sie versuchen, gestohlene Daten zu exfiltrieren.