Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Wissen
Threat Intelligence

Cl0p

Cl0p hat die Massen-Erpressung perfektioniert: Ein Zero-Day in einer verbreiteten Datei-Transfer-Lösung – und hunderte Unternehmen sind gleichzeitig betroffen, oft ganz ohne Verschlüsselung.

Vorfall melden
Kurz erklärt

Cl0p ist eine russischsprachige Erpressergruppe, die für Massen-Kampagnen gegen Managed-File-Transfer- und Unternehmenssoftware bekannt ist – darunter MOVEit und GoAnywhere mit jeweils hunderten betroffenen Organisationen. Statt zu verschlüsseln, stiehlt Cl0p häufig nur Daten und erpresst mit deren Veröffentlichung.

Aktuell (Juli 2026): Cl0p nutzt die kritische Schwachstelle CVE-2026-12569 in PTC Windchill und PTC FlexPLM aus – eine unsichere Deserialisierung, die ohne Anmeldung Codeausführung erlaubt. Beobachtet werden JSP-Webshells und der Abzug von Produktdaten; seit dem 20. Juli 2026 laufen Erpressungsmails mit dem Betreff „Windchill PDMLink module serious data leak“ an Beschäftigte betroffener Unternehmen. Betroffen sind vor allem Fertigung, Automotive, Luft- und Raumfahrt sowie Handel – also Branchen mit starkem DACH-Bezug. Wie bei Cl0p üblich erscheinen die Opfer erst mit Verzögerung auf der Leak-Site; das Ausbleiben von Einträgen ist deshalb kein Zeichen von Inaktivität.

Aktiv

Modell

Privates Kollektiv mit RaaS-Elementen

Auch bekannt als

Clop; verwandt mit TA505/FIN11

Gegründet

~2019 (als Cl0p); TA505 aktiv seit ~2014

Entstanden aus

Aus dem TA505/FIN11-Netzwerk

Herkunft

Russland/Ukraine (vermutet), enger Bezug zur TA505-Gruppe (FIN11)

Zielsektoren

Finanzwesen, Gesundheitswesen, Logistik, Energieversorgung, Behörden

Zielregionen

Global; USA, UK, DACH, Australien

Typisches Lösegeld

Selten öffentliche Forderungen – Fokus auf Massenexfiltration und Erpressung, oft ohne Verschlüsselung

Opferzahl

1.250+ gelistete Opfer; 11.000+ Organisationen seit 2019, 500 Mio. USD+ Lösegeld (Stand: Mitte 2026)

File Extensions

.clop, .C_L0P

Ransom Note

ClopReadMe.txt / README_[Kennung].txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Backups sofort prüfen und offline/schreibgeschützt sichern.
  • Vorfall dokumentieren: Zeitpunkte, betroffene Systeme, Ransom-Note – wichtig für Forensik und Meldepflichten.
  • Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Entschlüsselung oder Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Verschlüsselte Daten nicht löschen – teils später entschlüsselbar.
  • Keine dubiosen „Entschlüsselungs-Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • MOVEit-Kampagne (Juni 2023): 2.700+ Organisationen inkl. Shell, BBC, British Airways, PwC
  • GoAnywhere-Kampagne (2023): ~130 Opfer
  • Cleo-Kampagne (Dez. 2024): 350+ Opfer

Angriffstechniken (TTPs)

  • Initial Access: Massenhafte Ausnutzung von Zero-Days in Datei-Transfer-/Enterprise-Software.
    • Kampagnen: GoAnywhere MFT (2023), MOVEit Transfer (CVE-2023-34362, 2023), Cleo Harmony/VLTrader (2024)
    • MITRE: T1190
  • Exfiltration: Automatisierte Massen-Exfiltration tausender Datensätze in Minuten – häufig ohne Verschlüsselung.
  • Erpressung: Reine Datenerpressung über die öffentliche Leak-Site „CL0P^_-LEAKS“.

Technologie & Malware

Vorgehen: In klassischen Kampagnen Verschlüsselung mit AES + RSA (Endung .clop); zunehmend jedoch reine Datenexfiltration ohne Verschlüsselung.

Werkzeuge: über TA505 verbreitete Loader (u. a. Dridex, Truebot); eigene Webshells DEWMODE (MOVEit) und LEMURLOOT.

Indicators of Compromise (IOCs)

  • File Extensions: .clop, .C_L0P
  • Ransom Note: ClopReadMe.txt / README_[Kennung].txt
  • Webshells/Tools: DEWMODE, LEMURLOOT, Truebot, Cobalt Strike
  • Leak-Site: „CL0P^_-LEAKS“ (Tor)
  • Bezug: TA505 / FIN11

Was Unternehmen jetzt prüfen sollten

  • Inventar: Welche Datei-Transfer- und Integrations-Lösungen sind im Einsatz – auch bei Dienstleistern?
  • Patch-Prozess für Internet-exponierte Anwendungen in Stunden statt Wochen
  • Monitoring auf ungewöhnliche Datenabflüsse aus Transfer-Systemen
  • Vertragliche Meldepflichten der Lieferanten bei Sicherheitsvorfällen

Wie Argos unterstützt

Schwachstellen- und Angriffsflächen-Management, 24/7-Detection im Cyber Defense Center und im Ernstfall forensische Klärung, ob und welche Daten abgeflossen sind – inklusive Meldepflichten.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →Ransomware-Soforthilfe →