Recuperación de Ataque Cl0p (Clop)
Respuesta directa
Cl0p es una de las familias de ransomware más sofisticadas, activa desde 2019. Se especializó en explotar zero-days en productos de transferencia segura: Accellion FTA (2020), SolarWinds Serv-U (2021), GoAnywhere MFT (CVE-2023-0669) y MOVEit Transfer (CVE-2023-34362) que afectó a 2.700+ empresas globalmente. Foco en exfiltración masiva más que en cifrado. HD Doctor opera forense de exfiltración y soporte a notificación regulatoria.
Cl0p frecuentemente exfiltra datos sin cifrar (extorsión pura). Aun sin archivos cifrados, hay obligación de notificación regulatoria en 72h. Active respuesta de inmediato.
Qué es Cl0p
Cl0p es una operación RaaS asociada a TA505 (FIN11), activa desde febrero de 2019. Evolucionó de puro cifrado a extorsión por exfiltración, explotando zero-days en productos enterprise file transfer. Campaña MOVEit (mayo-junio 2023) afectó a empresas como Shell, BBC, PwC, Maximus y múltiples agencias del gobierno americano. Usa AES + RSA para cifrado cuando aplica (extensión .clop o .Cllp).
Síntomas de compromiso por Cl0p
- Comunicación anónima recibida por email/Tor con lista de archivos exfiltrados
- Sitio darknet 'Cl0p Leaks' citando la empresa
- Logs de MOVEit Transfer / GoAnywhere con web shell instalado (LEMURLOOT)
- Tráfico saliente anormal hacia IPs Cl0p conocidas
- Archivos con extensión .clop, .Cllp o .Cl0p (cuando hay cifrado)
- Nota 'ClopReadMe.txt' o 'README_README.txt'
Vectores típicos de ataque Cl0p
| Causa | % | ¿Recuperable? |
|---|---|---|
| MOVEit Transfer (CVE-2023-34362) | 60% | Patch + forense de exfiltración |
| Fortra GoAnywhere MFT (CVE-2023-0669) | 12% | Patch + forense |
| PaperCut MF/NG (CVE-2023-27350) | 8% | Patch + forense |
| Accellion FTA (legado, 2020-2021) | 8% | Reemplazo + forense |
| Phishing dirigido | 7% | Capacitación + restore |
| Otros / no identificado | 5% | Análisis caso a caso |
Distribución según CISA AA23-158A (MOVEit) y reportes Mandiant.
Qué NO hacer al identificar Cl0p
- 1.No ignore aviso de exfiltración sin archivos cifrados. Cl0p frecuentemente NO cifra; extorsiona por la filtración. La notificación regulatoria sigue siendo obligatoria.
- 2.No borre logs MOVEit / GoAnywhere de inmediato. Los logs contienen evidencia de upload de web shell y exfiltración vía cURL/Python. Preserve antes de cualquier acción.
- 3.No pague sin prueba de no-filtración. Aún pagando, las filtraciones pueden ocurrir (caso Maximus, Shell). El pago no detiene la extorsión de terceros que recibieron el dato.
- 4.No restaure MOVEit sin patch. Restaurar a versión vulnerable (CVE-2023-34362) reabre la puerta. Aplicar patch CRÍTICAMENTE antes de levantar el servicio.
- 5.No trate como caso aislado. Las campañas Cl0p afectan a muchas empresas simultáneamente vía la misma vulnerabilidad. Revise IoCs CISA para su versión MOVEit.
Proceso HD Doctor para respuesta Cl0p
Respuesta enfocada en forense de exfiltración y cumplimiento regulatorio.
- 1
Triaje (0 a 6h)
Identificación de productos vulnerables (MOVEit, GoAnywhere, PaperCut), aislamiento, snapshot de servidores afectados, preservación de logs IIS y del producto.
- 2
Forense de web shell (6 a 48h)
Identificación de web shell LEMURLOOT (human2.aspx o similar), análisis de uploads/downloads, identificación de credenciales y archivos exfiltrados vía timeline IIS.
- 3
Análisis de exfiltración (24 a 72h)
Cruce de logs IIS, firewall y MOVEit para identificar qué archivos descargó el atacante, con hashes.
- 4
Notificación regulatoria (en 72h)
Apoyo al armado del expediente: lista de titulares afectados, tipo de dato, mitigación aplicada, plan de comunicación.
- 5
Hardening e informe (5 a 25 días)
Patch MOVEit/GoAnywhere, WAF frente a productos de transferencia, monitoreo continuo, EDR. Informe técnico forense.
SLA típico para respuesta Cl0p
| Escenario | Plazo |
|---|---|
| Triaje inicial | 0 a 6h |
| Forense de web shell | 24 a 48h |
| Análisis completo de exfiltración | 48 a 72h |
| Expediente para notificación regulatoria | Antes de 72h tras conocimiento |
| Informe técnico final | 15 a 30 días hábiles |
- La notificación regulatoria en 72h es obligación legal bajo normativa de protección de datos.
Productos afectados por campañas Cl0p
| Familia | Soporte | Notas |
|---|---|---|
| Progress MOVEit Transfer | ✅ Forense completa + patch | CVE-2023-34362, 2.700+ víctimas globales |
| Fortra GoAnywhere MFT | ✅ Forense completa + patch | CVE-2023-0669 |
| PaperCut MF/NG | ✅ Forense + patch | CVE-2023-27350 |
| Accellion FTA (descontinuado) | ✅ Análisis legacy | Migración recomendada |
| Windows IIS / web servers | ✅ Forense de web shell | Detección de LEMURLOOT |
Por qué HD Doctor para respuesta Cl0p
- 🔍Especialistas en forense de exfiltración y detección de web shells en productos de transferencia segura.
- ⚡Respuesta 24×7 priorizada para casos con plazo regulatorio ajustado.
- 📋Apoyo jurídico-técnico para notificación regulatoria en hasta 72h, con expediente estructurado.
- 🛡️Hardening específico de MOVEit/GoAnywhere/PaperCut post-incidente, con WAF y monitoreo.
- 💼Casos reales documentados de la campaña MOVEit en Brasil.
Preguntas frecuentes sobre Cl0p
¿Cl0p solo roba o también cifra?
Depende de la campaña. En 2019-2022 cifraba agresivamente. Desde 2023 (MOVEit, GoAnywhere) muchas campañas solo exfiltran y extorsionan por la filtración, sin cifrar. Ambos modos exigen notificación regulatoria si hay dato personal involucrado.
¿Fui afectado por la campaña MOVEit Cl0p?
Verifique: (1) versión de MOVEit Transfer instalada en mayo-junio de 2023; (2) presencia de web shell human2.aspx o similar; (3) actividad anormal en logs IIS en el período; (4) nombre de la empresa en listas filtradas en Cl0p Leaks. Nuestro playbook incluye todos esos chequeos.
¿Pagar el rescate a Cl0p evita la filtración?
El histórico muestra que NO. Casos documentados (Maximus, Shell, PwC y otros) tuvieron datos filtrados aún después de pagar. Pagar financia más ataques y puede violar OFAC. El foco debe ser mitigación, notificación regulatoria y plan de comunicación a titulares.
¿Existe decryptor para Cl0p?
Para variantes antiguas (2019-2021) hay decryptor parcial de Bitdefender. Para variantes recientes (2022+) no hay decryptor público. Como muchas campañas Cl0p solo exfiltran sin cifrar, el foco de la respuesta es forense y notificación, no decryptor.
¿Cuánto tiempo hasta finalizar un caso Cl0p?
Forense y notificación: 7 a 30 días. Restore (si hubo cifrado): 7 a 30 días adicionales. Notificación a titulares afectados: 30 a 60 días. Informe técnico final para uso judicial: 30 a 60 días.
¿Comprometido por Cl0p?
Plazo regulatorio de 72h. Active respuesta de inmediato.