Cl0p

Cl0p hat sich von einer klassischen Ransomware-Gruppe zu einem Spezialisten für die Massenausnutzung von Zero-Day-Schwachstellen entwickelt. Die MOVEit-Kampagne im Mai 2023 betraf über 2.500 Organisationen und 67 Millionen Personen weltweit — einer der größten Cyberangriffe der Geschichte. Cl0p verzichtet zunehmend auf Verschlüsselung und setzt stattdessen ausschließlich auf Datendiebstahl und Erpressung.

Die MOVEit-Katastrophe

Im Mai 2023 nutzte Cl0p eine Zero-Day-Schwachstelle (CVE-2023-34362) in der weit verbreiteten Datentransfer-Software MOVEit aus. Die Gruppe hatte die Schwachstelle wahrscheinlich seit 2021 getestet und schlug koordiniert zu — sie kompromittierte innerhalb weniger Tage Tausende von MOVEit-Instanzen weltweit. Betroffen waren Regierungsbehörden, Universitäten, Banken und Großkonzerne. Die gestohlenen Daten wurden auf einer Leak-Site veröffentlicht.

Muster: Massenexploitation von File-Transfer-Software

MOVEit war nicht der erste Massangriff von Cl0p. Bereits Anfang 2023 nutzte die Gruppe eine Zero-Day-Schwachstelle in GoAnywhere MFT (CVE-2023-0669) aus und kompromittierte über 130 Organisationen. 2020/2021 hatte Cl0p die Accellion FTA-Schwachstelle ausgenutzt. Das Muster ist klar: Cl0p identifiziert Zero-Day-Schwachstellen in weit verbreiteter Enterprise-Datentransfersoftware und nutzt sie für koordinierte Massenangriffe.

Shift zu reiner Datenerpressung

Cl0p hat sich zunehmend von der klassischen Verschlüsselung abgewandt und setzt auf reine Datenexfiltration und Erpressung (Extortion-only). Dies ist effizienter und schwerer zu erkennen als traditionelle Ransomware. Unternehmen bemerken den Angriff oft erst, wenn Cl0p sie kontaktiert oder Daten auf der Leak-Site erscheinen.