O que é o ransomware Clop?

Principais conclusões

• Clop é uma operação de ransomware ativa desde 2019, ligada aos agentes de ameaça rastreados como TA505 e FIN11.
• É especializada na exploração em massa de software de transferência gerenciada de arquivos, comprometendo diversas organizações em uma única campanha.
• Clop costuma usar extorsão por roubo de dados, furtando arquivos e ameaçando divulgá-los em vez de criptografar sistemas.
• Sua campanha MOVEit, em 2023, afetou centenas de organizações em todo o mundo por meio de uma única vulnerabilidade de dia zero.
• A microsegmentação isola os sistemas de transferência de arquivos voltados para a internet e restringe as conexões usadas para exfiltrar dados.

O que é o ransomware Clop?

Clop é uma família de ransomware e a operação criminosa por trás dela está associada aos grupos com motivação financeira identificados como TA505 e FIN11. A empresa realizou tanto ataques de criptografia tradicionais quanto extorsão baseada exclusivamente no roubo de dados. O Clop é mais conhecido por um padrão de encontrar e explorar vulnerabilidades em aplicativos de transferência de arquivos amplamente utilizados, o que permite que uma única falha dê acesso a muitas vítimas simultaneamente.

Clop surgiu pela primeira vez em fevereiro de 2019 e permanece ativo de alguma forma desde então. Uma de suas campanhas mais recentes foi uma tentativa de extorsão em larga escala contra clientes do Oracle E-Business Suite em 2025, conforme relatado pelo Google Threat Intelligence Group (GTIG).

Como funciona o ransomware Clop?

O Clop funciona explorando softwares de transferência de arquivos expostos à internet para roubar dados em larga escala. Em vez de depender de phishing em larga escala seguido de movimentação manual, as campanhas da Clop se concentram em vulnerabilidades de dia zero em produtos de transferência gerenciada de arquivos (MFT). Quando os operadores encontram uma falha explorável, eles implantam shells da web no dispositivo exposto, acessam os dados armazenados e os exfiltram. As vítimas então recebem pedidos de extorsão fazendo referência aos arquivos roubados.

Por exemplo, pesquisadores documentaram a implantação, por Clop, de uma backdoor personalizada chamada LEMURLOOT para manter o acesso durante uma campanha notável do MOVEit em 2023. Após a extração dos dados, o grupo normalmente publicava os arquivos roubados em um site de vazamentos na dark web para pressionar as vítimas que se recusavam a pagar.

Este modelo concentra o risco nos sistemas que se encontram na borda da rede e nas conexões que esses sistemas têm com os armazenamentos de dados internos. Um dispositivo de transferência de arquivos exposto e com amplo alcance interno torna-se um ponto único de perda em larga escala.

Quais foram os ataques Clop mais notáveis?

Clop foi responsável por algumas das maiores campanhas de roubo de dados já registradas. Em 2023, explorou uma vulnerabilidade de dia zero no produto MOVEit Transfer, comprometendo centenas de organizações nos setores governamental, financeiro, de saúde e outros. Campanhas anteriores exploraram o Accellion File Transfer Appliance e o GoAnywhere MFT. Cada campanha seguiu o mesmo padrão: uma falha em um software amplamente utilizado, explorada rapidamente em diversas vítimas.

O ransomware Clop ainda está ativo?

O ransomware Clop continua ativo. Continua a figurar entre as operações de ransomware mais prolíficas e segue visando aplicações empresariais expostas à internet, historicamente softwares de transferência de arquivos, com novas campanhas de exploração. Sua persistência reflete a eficácia do modelo de exploração em massa, que produz muitas vítimas a partir de uma única vulnerabilidade com relativamente pouco esforço por alvo.

Como evoluíram as táticas do ransomware Clop?

Clop não começou como um veículo de exploração em massa. Os atacantes do TA505 que desenvolveram o Clop usaram táticas comprovadas em seus primeiros dias. Eles enviaram e-mails de phishing contendo anexos maliciosos que executavam programas chamados "Get2", que por sua vez instalavam malware adicional. Em muitos casos, os operadores roubaram credenciais ou comprometeram serviços de acesso remoto para se infiltrarem mais profundamente na rede.

As primeiras campanhas envolviam tanto a criptografia de arquivos quanto o roubo de dados, e os operadores também ameaçavam expor publicamente os dados caso a vítima não pagasse. Esse método de três frentes — bloquear os arquivos, roubar os dados e ameaçar expô-los — foi o que definiu o estilo de ataque do Clop durante seus primeiros anos.

Uma mudança notável de tática ocorreu quando os operadores da Clop começaram a procurar vulnerabilidades de dia zero em aplicativos de software MFT, em vez de usar táticas generalizadas de phishing. O GoAnywhere MFT e o MOVEit Transfer tornaram-se os dois principais canais dessa nova abordagem. Na verdade, centenas de organizações foram impactadas por uma única campanha MOVEit. Muitas dessas campanhas mais recentes contornaram completamente o uso de criptografia e monetizaram o ataque apenas por meio do roubo de dados. Uma única vulnerabilidade, explorada contra todas as instâncias expostas do mesmo software, agora realiza o trabalho que antes exigia milhares de e-mails de phishing individuais.

O que você deve fazer após um ataque de ransomware Clop?

Após um ataque de ransomware do tipo Clop, a rapidez com que você age é crucial. O primeiro e mais importante passo é isolar quaisquer aplicativos de transferência de arquivos afetados, bem como quaisquer outros sistemas que apresentem sinais de comprometimento. Esta é a primeira medida para conter a violação e cortar o acesso do invasor antes que ele possa se espalhar ainda mais.

Em seguida, prossiga com quaisquer protocolos de resposta a incidentes que suas equipes tenham desenvolvido para ataques de exfiltração de dados, e não apenas para a criptografia que normalmente define um ataque de ransomware. Isso pode ter a seguinte aparência:

• Certifique-se de que todas as contas comprometidas estejam desativadas e atualize todas as credenciais e tokens de acesso associados a essas contas. Além disso, bloqueie todos os IPs ou domínios maliciosos conhecidos que possam estar ligados à campanha Clop.
• Antes de começar a excluir arquivos maliciosos ou reconstruir sistemas, certifique-se de capturar todas as informações de log, registros de captura de memória e outras evidências forenses. É tentador resolver tudo o mais rápido possível, mas isso pode destruir o registro necessário para investigações e ações judiciais.
• Identifique com precisão quais sistemas foram acessados e quais dados foram exfiltrados, e identifique todos os usuários ou parceiros que possam ter sido afetados.
• Por fim, corrija ou reconstrua completamente todos os sistemas que foram comprometidos no ataque de ransomware. Ao fazer isso, certifique-se de concluir todas as notificações regulatórias, de clientes e de autoridades policiais que seu incidente desencadear.

Trata-se essencialmente de um procedimento de triagem, cujo objetivo é estancar o sangramento e documentar a extensão dos danos. No entanto, isso não aborda a vulnerabilidade subjacente que permitiu aos invasores explorar uma aplicação vulnerável que tinha acesso a múltiplas áreas do seu ambiente. Abordar essas vulnerabilidades estruturais e limitar o alcance de cada sistema é a medida corretiva que se segue à triagem.

Como conter um ataque do tipo Clop?

Você consegue conter um ciberataque do tipo Clop isolando os sistemas de transferência de arquivos voltados para a internet e restringindo rigorosamente o que eles podem acessar. Como o Clop tem como alvo dispositivos expostos e, em seguida, exfiltra dados, limitar o alcance interno e as conexões de saída desses sistemas reduz tanto o acesso quanto a perda de dados.

As soluções de microsegmentação colocam os dispositivos de transferência de arquivos em sua própria zona isolada e permitem apenas as conexões específicas de que necessitam. Um dispositivo comprometido não consegue se infiltrar no ambiente externo, e os controles sobre o tráfego de saída restringem os caminhos usados para transferir dados roubados. A visibilidade do tráfego real também revela conexões inesperadas de um sistema de borda, o que geralmente é o primeiro sinal de exploração. É assim que a contenção de violações se apresenta quando aplicada a uma ameaça focada em exfiltração.

Perguntas frequentes sobre o ransomware Clope

Que tipo de malware é o Clope?

Clop é um ransomware, embora muitas de suas campanhas dependam do roubo de dados e da extorsão, em vez da criptografia dos sistemas das vítimas.

Como é que a Clop consegue comprometer tantas organizações ao mesmo tempo?

O Clop explora vulnerabilidades de dia zero em softwares de transferência de arquivos gerenciados amplamente utilizados, o que permite que uma única falha forneça acesso a várias organizações em uma única campanha.

O Clop ainda está ativo?

Sim. O Clop ainda é uma operação de ransomware ativa, e os agentes maliciosos por trás do grupo continuam realizando campanhas de exploração em larga escala contra aplicativos corporativos expostos à internet, historicamente softwares de transferência de arquivos.

A microsegmentação pode impedir um ataque do tipo Clop?

Sim. A microsegmentação isola os sistemas de transferência de arquivos voltados para a internet, limitando os danos caso um desses aplicativos seja explorado. Além disso, a microsegmentação limita o número de caminhos potenciais que os atacantes têm disponíveis ao tentar exfiltrar dados roubados.