Qu’est-ce que le ransomware Clop ?

Points clés

• Clop est une opération de ransomware active depuis 2019, liée aux acteurs malveillants suivis sous les noms TA505 et FIN11.
• Elle est spécialisée dans l’exploitation massive de logiciels de transfert de fichiers gérés, compromettant de nombreuses organisations lors d’une seule campagne.
• Clop utilise souvent le vol de données, l’extorsion, le vol de fichiers et la menace de les divulguer plutôt que de chiffrer les systèmes.
• Sa campagne MOVEit en 2023 a touché des centaines d’organisations dans le monde entier à cause d’un seul défaut zero-day.
• La microsegmentation isole les systèmes de transfert de fichiers connectés à Internet et restreint les connexions utilisées pour exfiltrer les données.

Qu’est-ce que le ransomware Clop ?

Clop est une famille de rançongiciels, et l’opération criminelle qui la sous-tend, associée aux groupes motivés financièrement suivis sous les noms TA505 et FIN11. Elle a mené à la fois des attaques traditionnelles de chiffrement et des extorsions uniquement liées au vol de données. Clop est surtout connu pour un schéma de détection et d’exploitation des vulnérabilités dans les applications de transfert de fichiers largement utilisées, permettant à une seule faille d’accéder à de nombreuses victimes simultanément.

Clop est apparu pour la première fois en février 2019 et est resté actif d’une certaine manière depuis. L’une de ses campagnes les plus récentes a été une vaste campagne d’extorsion contre les clients de l’Oracle E-Business Suite en 2025, selon le Google Threat Intelligence Group (GTIG).

Comment fonctionne le ransomware Clop ?

Clop fonctionne en exploitant des logiciels de transfert de fichiers accessibles à Internet pour voler des données à grande échelle. Plutôt que de s’appuyer sur le phishing généralisé suivi d’un mouvement manuel, les campagnes Clop se concentrent sur les vulnérabilités zero-day dans les produits de transfert de fichiers gérés (MFT). Lorsque les opérateurs trouvent une faille utilisable, ils déploient des webshells sur l’appareil exposé, accèdent aux données qu’il contient et les exfiltrent. Les victimes reçoivent ensuite des demandes d’extorsion faisant référence aux fichiers volés.

Par exemple, des chercheurs ont documenté le déploiement d’une porte dérobée personnalisée appelée LEMURLOOT pour conserver l’accès lors d’une campagne MOVEit notable en 2023. Une fois les données extraites, le groupe publiait généralement les fichiers volés sur un site de fuite du dark web pour faire pression sur les victimes qui refusaient de payer.

Ce modèle concentre le risque dans les systèmes situés à la périphérie du réseau et dans les connexions que ces systèmes ont avec des entrepôts de données internes. Un appareil de transfert de fichiers exposé avec une large portée interne devient un point unique de perte à grande échelle.

Quelles ont été les attaques de Clop notables ?

Clop a été responsable de plusieurs des plus grandes campagnes de vol de données enregistrées. En 2023, elle a exploité une vulnérabilité zero-day dans le produit MOVEit Transfer, compromettant des centaines d’organisations dans les secteurs gouvernemental, financier, de la santé et d’autres secteurs. Les campagnes précédentes exploitaient l’Accellion File Transfer Appliance et GoAnywhere MFT. Chaque campagne suivait le même schéma : un défaut dans un logiciel largement déployé, exploité rapidement par de nombreuses victimes.

Le ransomware Clop est-il toujours actif ?

Le ransomware clop reste actif. Il continue d’apparaître parmi les opérations de ransomware les plus prolifiques, et il continue de cibler les applications d’entreprise orientées vers Internet, historiquement des logiciels de transfert de fichiers, avec de nouvelles campagnes d’exploitation. Sa persistance reflète l’efficacité du modèle d’exploitation de masse, qui produit de nombreuses victimes issues d’une seule vulnérabilité avec relativement peu d’efforts par cible.

Comment les tactiques de ransomware Clop ont-elles évolué ?

Clop n’a pas commencé comme un véhicule d’exploitation de masse. Les assaillants TA505 qui ont développé Clop ont utilisé des tactiques éprouvées à leurs débuts. Ils ont envoyé des emails de phishing contenant des pièces jointes malveillantes qui ont lancé des chargeurs nommés « Get2 », lesquels ont ensuite attiré des malwares supplémentaires. Dans de nombreux cas, les opérateurs ont volé des identifiants ou compromis des services d’accès à distance pour s’enfoncer plus profondément dans un réseau.

Les premières campagnes consistaient à chiffrer des fichiers et à voler des données, et les opérateurs menaçaient également d’exposer publiquement les données si la victime ne payait pas. Cette méthode à trois volets consistant à verrouiller les fichiers, à voler les données et à menacer de les exposer a défini le style d’attaque de Clop pendant ses premières années.

Un changement de tactique notable s’est produit lorsque les opérateurs de Clop ont commencé à rechercher des vulnérabilités zero-day dans les applications logicielles MFT plutôt que d’utiliser des tactiques de phishing généralisées. GoAnywhere MFT et MOVEit Transfer sont devenus les deux principaux vecteurs de cette nouvelle approche. En fait, des centaines d’organisations ont été impactées par la campagne MOVEit unique. Beaucoup de ces campagnes récentes ont complètement contourné le chiffrement et ont monétisé l’attaque uniquement par le vol de données. Une seule vulnérabilité, déployée contre chaque instance exposée du même logiciel, accomplit désormais le travail qui nécessitait autrefois des milliers d’emails de phishing individuels.

Que faut-il faire après une attaque de ransomware Clop ?

À la suite d’une violation de ransomware de type Clop, la rapidité avec laquelle vous agissez est la plus importante. La première et la plus importante étape est d’isoler toute application de transfert de fichiers affectée ainsi que tout autre système présentant des signes de compromission. C’est la première mesure pour contenir la brèche et couper l’accès de l’attaquant avant qu’il ne puisse se propager davantage.

Ensuite, suivez tous les protocoles de réponse aux incidents que vos équipes ont mis en place pour les attaques d’exfiltration de données, et pas seulement pour le chiffrement qui définit généralement une attaque de ransomware. Cela pourrait ressembler à ce qui suit :

• Assurez-vous que tous les comptes compromis sont désactivés et mettez à jour tous les identifiants et jetons d’accès associés à ces comptes. De plus, bloquez toutes les IP ou domaines malveillants connus qui pourraient être liés à la campagne Clop.
• Avant de commencer à supprimer des fichiers malveillants ou à reconstruire des systèmes, assurez-vous de capturer toutes les informations de journaux, enregistrements de capture de mémoire et autres preuves médico-légales. Il est tentant de régler les choses au plus vite, mais cela pourrait détruire le dossier dont vous avez besoin pour l’enquête et les poursuites judiciaires.
• Identifiez précisément quels systèmes ont été consultés et quelles données ont été exfiltrées, et identifiez tous les utilisateurs ou partenaires qui auraient pu être affectés.
• Enfin, corrigez ou reconstruisez en profondeur chaque système compromis lors de l’attaque par ransomware. Ce faisant, assurez-vous de remplir toutes les notifications réglementaires, clients et forces de l’ordre que votre incident déclenche.

Il s’agit essentiellement d’un triage, destiné à arrêter le saignement et à documenter l’étendue des dégâts. Cependant, cela ne traite pas l’exposition sous-jacente qui a permis aux attaquants d’exploiter une application vulnérable ayant accès à plusieurs zones de votre environnement. Traiter ces vulnérabilités structurelles et limiter ce que chaque système peut atteindre est le travail de mesure corrective qui suit le triage.

Comment contenir une attaque de type Clop ?

Vous contenir une cyberattaque de type Clop en isolant les systèmes de transfert de fichiers connectés à Internet et en restreignant strictement ce qu’ils peuvent atteindre. Parce que Clop cible les appareils exposés puis exfiltre les données, limiter la portée interne et les connexions sortantes de ces systèmes réduit à la fois l’accès et la perte.

Les solutions de microsegmentation placent les appliances de transfert de fichiers dans leur propre zone isolée et n’autorisent que les connexions spécifiques dont elles ont besoin. Une appliance compromise ne peut pas pivoter vers l’environnement plus large, et les contrôles du trafic sortant limitent les chemins utilisés pour déplacer les données volées. La visibilité sur le trafic réel fait également apparaître des connexions inattendues depuis un système de périphérie, ce qui est souvent le premier signe d’exploitation. Voilà à quoi ressemble le confinement de la brèche lorsqu’il est appliqué à une menace axée sur l’exfiltration.

Foire aux questions sur le ransomware Clop

Quel type de malware est Closop ?

Clop est un ransomware, bien que nombre de ses campagnes reposent sur le vol de données et l’extorsion plutôt que sur le chiffrement des systèmes victimes.

Comment Clop compromet-il autant d’organisations à la fois ?

Clop exploite les vulnérabilités zero-day dans les logiciels de transfert de fichiers gérés largement utilisés, ce qui permet à une seule faille d’accéder à de nombreuses organisations lors d’une même campagne.

Clop est-il toujours actif ?

Oui. Clop reste une opération active de ransomware, et les acteurs malveillants derrière le groupe continuent de mener des campagnes d’exploitation à grande échelle contre des applications d’entreprise orientées vers Internet, historiquement des logiciels de transfert de fichiers.

La microsegmentation peut-elle arrêter une attaque de type Clop ?

Oui. La microsegmentation isole les systèmes de transfert de fichiers connectés à Internet, limitant les dommages si l’une de ces applications est exploitée. De plus, la microsegmentation limite le nombre de chemins potentiels dont disposent les attaquants lorsqu’ils tentent d’exfiltrer des données volées.