ARTICLE / 安全
Cl0p
报告编号: TIR-2026-0621-006 | 分类等级: TLP:AMBER | 发布日期: 2026年6月21日 | 情报来源: 多源交叉验证（OSINT + 执法通报 + 厂商报告 + CISA/FBI CSA）
一、执行摘要
Cl0p（又称 CL0P、Clop、TA505、FIN11）是全球最具破坏力和技术最先进的勒索软件即服务（RaaS）组织之一。该组织于2019年2月首次被发现，由 CryptoMix 勒索软件变种演化而来，隶属于历史悠久的大型网络犯罪集团 TA505。截至2026年6月，Cl0p 已窃取自超过 11,000 个组织 的敏感数据，累计勒索金额超过 5 亿美元，是历史上获利最高的勒索软件运营者之一。
Cl0p 最显著的特征是其对 托管文件传输（MFT）软件零日漏洞 的系统性利用——通过2023年 MOVEit Transfer 漏洞攻击一次性影响 2,773 个组织，创下历史上单次网络攻击影响范围之最。2024-2025年，该组织又利用 Cleo 平台漏洞（CVE-2024-50623）攻击超过 300 个组织，并在2025年回归成为 全球第三大活跃勒索组织（469 个公开受害者，同比增长1,413%）。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 11,000+ 受害组织，5亿美元+勒索金额 |
| 攻击模式 | 纯数据窃取勒索（已放弃加密），四重勒索模型 |
| 核心能力 | 零日漏洞获取与武器化（MFT 软件专项） |
| 首要入口 | MFT 软件零日漏洞（MOVEit、Cleo、Accellion、GoAnywhere） |
| 商业模式 | RaaS + 初始访问代理 + 大规模僵尸网络运营 |
| 加密器 | ClopEncryptor（RSA + AES 混合加密），2021年后逐步弃用 |
| 关联组织 | TA505、FIN11、Graceful Spider、Lace Tempest、UNCA2546、UNCA2582 |
| 美国悬赏 | 1,000 万美元（用于将 Cl0p 成员与外国政府关联的信息） |
| 解密可能性 | 部分可解密（早期加密受害者可尝试，纯数据窃取阶段无加密） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🔴 极高 | 零日漏洞获取、MFT 软件武器化、大规模自动化数据窃取 |
| 运营成熟度 | 🔴 极高 | 10年+运营历史、多业务线（RaaS + IAB + 僵尸网络） |
| 攻击规模 | 🔴 极高 | 单次 MOVEit 攻击影响 2,773 个组织，史上最大规模 |
| 目标针对性 | 🔴 极高 | 金融、医疗、政府、教育、科技、制造业全覆盖 |
| 数据泄露风险 | 🔴 极高 | 四重勒索：数据窃取 + 公开泄露 + 直接联系客户/合作伙伴 + DDoS 威胁 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | Cl0p（CL0P / Clop） |
| 别名 | TA505、FIN11、Graceful Spider、Lace Tempest、Spandex Tempest、DEV-0950、GOLD TAHOE、GOLD EVERGREEN、Chimborazo、Hive0065、ATK103、SectorJ04、Money Finance、Dudear |
| MITRE ATT&CK | G0092 |
| 组织类型 | 勒索软件即服务（RaaS）+ 初始访问代理（IAB）+ 僵尸网络运营 |
| 活跃周期 | TA505：2014年至今；Cl0p 勒索品牌：2019年2月至今 |
| 主要语言 | 英语（对外沟通/泄露站）、俄语（内部沟通） |
| 地理归属 | 俄罗斯/独联体国家（高置信度） |
| 攻击目标 | 全球企业（金融、医疗、政府、教育、科技、制造） |
| 动机 | 经济利益 |
| CIS 豁免 | 是（不攻击独联体国家目标） |
2.2 组织演化时间线
2.3 别名与追踪实体关系
| 追踪机构 | 命名 | 关系说明 |
|---|---|---|
| Proofpoint | TA505 | 最初命名，2014年起追踪 |
| Mandiant/Google | FIN11 | 2016年起独立追踪，与 TA505 有重大重叠 |
| Microsoft | DEV-0950 / Lace Tempest / Spandex Tempest | 多个追踪代号对应不同活动阶段 |
| CrowdStrike | GRACEFUL SPIDER / MONTY SPIDER | 蜘蛛系列命名 |
| IBM | GOLD TAHOE / GOLD EVERGREEN | 黄金系列命名 |
| Proofpoint | SectorJ04 | 行业追踪代号 |
| 安全社区 | FIN11 / Chimborazo / Hive0065 / ATK103 | 多机构交叉引用 |
| Trend Micro | UNCA2546 / UNCA2582 | 与 FIN11 关联的两个具体行动集群 |
三、归因分析
3.1 地理归属
| 指标 | 评估 |
|---|---|
| 语言分析 | 俄语（内部沟通），CIS 国家豁免策略 |
| 活动时间模式 | 与东欧/俄罗斯工作时间高度吻合 |
| 基础设施 | 历史上使用独联体国家托管的 C2 服务器 |
| 执法行动 | 2021年6名嫌疑人在哥斯达黎加、危地马拉、西班牙等地执法行动中落网，泄露站一度关闭；2024 年 Operation Endgame 再次查封其数据泄露基础设施 |
| 通缉与悬赏 | 美国国务院/司法部对 TA505 核心成员长期悬赏（Ilya Lichtenstein 等已被起诉） |
3.2 归属置信度评估
| 证据维度 | 指向 | 置信度 |
|---|---|---|
| 语言与内部沟通 | 俄语犯罪集团（TA505 谱系） | 高 |
| 工作时间与活动模式 | 东欧/俄罗斯时区 | 高 |
| 执法司法文书 | 多名成员被美欧起诉定罪 | 高 |
| 基础设施托管 | 历史上集中于 CIS 托管商 | 中 |
综合评估：Cl0p 归属为高置信度——TA505/FIN11 谱系的俄语组织，执法文书与多机构追踪结论一致。
四、防御建议
4.1 检测要点
- MFT 软件暴露面：MOVEit/Cleo/GoAnywhere 等托管传输组件的非常规 webshell 落地与计划任务
- 外传监测：对大体积、长时间、面向未知云端的 HTTPS/SFTP 会话设置 egress 告警
- 凭据滥用：服务账户在非维护窗口从公网登录 MFT 控制台
4.2 缓解与响应
- 对互联网可达的 MFT/文件传输组件建立紧急补丁 SLA（24-48 小时），无法及时修补即临时下线
- 清点第三方数据传输依赖及其涉及数据量——Cl0p 攻击的受害者多因供应商被入侵而连带泄露
- 事件后优先核查"是否被二次勒索"：Cl0p 惯于对供应商的下游客户施压
五、总结
Cl0p 的独特之处在于几乎不依赖传统钓鱼，而是把商业化软件的零日漏洞当作"一次投入、批量收割"的入口，MOVEit 事件一举造成数千家机构连带泄露。防御侧的杠杆点同样清晰：压缩 MFT/边缘组件的暴露面与修复时延，并把供应商数据流转纳入资产清点——对 Cl0p 而言，慢一天补丁就等于多泄露一批数据。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。