Cl0p

2014       TA505 开始活跃
           运营 Necurs 僵尸网络（全球最大之一）
           分发 Dridex 银行木马、Locky 勒索软件
    ↓
2019.02    Cl0p 勒索软件首次出现
           作为 CryptoMix 变种演化而来
           通过大规模鱼叉式钓鱼活动部署
           使用签名验证的二进制文件规避检测
    ↓
2020       转向"双重勒索"模式
           数据窃取 + 系统加密
           启用 CL0P^_-LEAKS 暗网泄露站
           开始利用 Accellion FTA 零日漏洞
    ↓
2020-21    Accellion FTA 攻击活动
           部署 DEWMODE webshell 窃取数据
           影响多家政府和企业组织
    ↓
2021.06    国际执法打击
           6名涉嫌成员在乌克兰被捕
           部分基础设施被查封
    ↓
2021-22    组织重组，继续运营
           逐步从加密转向纯数据窃取勒索
           FIN11/DEV-0950 利用 Accellion FTA 零日
    ↓
2023.01    Fortra GoAnywhere MFT 攻击活动
           利用 API 漏洞进行大规模数据窃取
    ↓
2023.05    ★ MOVEit Transfer 零日攻击（CVE-2023-34362）
           SQL 注入 → LEMURLOOT webshell → 数据库窃取
           影响 2,773 个组织，窃取数十 TB 数据
           勒索收入约 7,500万-1亿美元
    ↓
2024.12    Cleo 平台攻击活动开始
           利用 CVE-2024-50623（ unrestricted file upload）
           宣布 60+ 受害者
    ↓
2025.02    Cleo 攻击大规模爆发
           182 个 Cleo 受害者被公开
           2025年全年 469 个受害者（同比增长 1,413%）
           成为全球第三大活跃勒索组织
    ↓
2025.07    Oracle E-Business Suite 零日攻击
           CVE-2025-61882（CVSS 9.8）
           攻击 Envoy Air（美国航空子公司）等
    ↓
2026       持续活跃，转向云环境和供应链攻击
           加强 AI/ML 驱动攻击工具使用
           多国政府列为最高优先级网络威胁

TA505 核心领导层
├── 恶意软件开发团队
│   ├── ClopEncryptor 维护
│   ├── 零日漏洞武器化
│   └── Webshell 开发（LEMURLOOT、DEWMODE）
├── 基础设施运营
│   ├── C2 服务器管理
│   ├── 暗网泄露站运营（CL0P^_-LEAKS）
│   └── 域名前置/流量分发
├── 勒索运营团队
│   ├── 谈判专家
│   ├── 加密货币洗钱
│   └── 受害者联络
├── 附属网络（Affiliates）
│   ├── UNCA2546（Accellion 攻击集群）
│   ├── UNCA2582（Accellion 攻击集群）
│   └── 其他独立附属成员
└── 初始访问代理（IAB）服务
    ├── 企业网络访问销售
    └── 僵尸网络运营（Necurs 等）

┌─────────────────────────────────────────────────────────────┐
│  阶段1：侦察与目标选择                                        │
│  · Shodan/Censys 扫描识别暴露的 MFT 服务器                    │
│  · 确认目标运行易受攻击的软件版本                              │
│  · 评估目标数据价值（金融/医疗/政府优先）                      │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段2：初始访问（零日利用）                                   │
│  · 利用 MFT 软件零日漏洞（SQL 注入/文件上传/代码执行）         │
│  · 部署自定义 Webshell（LEMURLOOT / DEWMODE）                 │
│  · 通过 Webshell 建立持久化访问                               │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段3：数据发现与收集                                        │
│  · Webshell 直接查询 MFT 数据库                               │
│  · 识别高价值文件（财务、客户、医疗记录、合同）                 │
│  · 使用 MFT 内置功能进行批量数据导出                           │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段4：数据外传                                              │
│  · 通过加密通道（HTTPS/SFTP）分批传输                         │
│  · 使用 Rclone/MegaSync 等合法工具辅助外传                    │
│  · 压缩加密后传输，规避 DLP 检测                              │
│  · 数据总量可达数十 TB                                        │
└────────────────────────┬────────────────────────────────────┘
                         ▼
┌─────────────────────────────────────────────────────────────┐
│  阶段5：勒索与 extortion                                      │
│  · 通过 CL0P^_-LEAKS Tor 站点威胁公开数据                     │
│  · 直接联系受害者高管（CEO/CFO/CISO）                         │
│  · 联系受害者客户和合作伙伴施压                                │
│  · 设定支付期限，威胁 DDoS 攻击                               │
│  · 通过 Tor 专属谈判站点进行赎金协商                           │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│  第一重：数据窃取                                            │
│  · 窃取敏感数据（财务、医疗、客户、知识产权）                  │
│  · 威胁在 CL0P^_-LEAKS 暗网站点公开                          │
├─────────────────────────────────────────────────────────────┤
│  第二重：直接联系受害者                                       │
│  · 直接联系 CEO/CFO/CISO 等高管                               │
│  · 提供"谈判"窗口期                                          │
│  · 通过 Tor 专属站点进行赎金协商                               │
├─────────────────────────────────────────────────────────────┤
│  第三重：间接施压                                             │
│  · 联系受害者客户，告知数据泄露风险                            │
│  · 联系受害者合作伙伴/供应商                                   │
│  · 制造监管合规压力（GDPR、HIPAA 等）                         │
├─────────────────────────────────────────────────────────────┤
│  第四重：DDoS 威胁                                           │
│  · 威胁对拒绝支付的组织发动 DDoS 攻击                         │
│  · 缩短支付期限，增加紧迫感                                   │
└─────────────────────────────────────────────────────────────┘

受害者支付 BTC
    ↓
链上混币（多跳转账）
    ↓
跨链转换（BTC → XMR / ETH）
    ↓
场外交易（OTC）/ 混币服务
    ↓
合法化（加密货币交易所提现 / 实体业务）

title: MOVEit Transfer SQL Injection Exploitation
id: a]clop-moveit-sqli-001
status: experimental
description: 检测针对 MOVEit Transfer 的 SQL 注入利用尝试
author: Threat Intelligence Team
date: 2026/06/21
references:
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a
tags:
    - attack.initial_access
    - attack.t1190
    - attack.credential_access
    - attack.t1003
logsource:
    category: webserver
    product: moveit_transfer
detection:
    selection_sqli:
        cs-uri-query|contains:
            - 'moveitaspi.dll'
            - 'guestaccess.aspx'
        cs-method: 'POST'
    selection_api:
        cs-uri-query|contains:
            - '/api/v1/folders'
        cs-uri-query|contains:
            - 'UploadType=resumable'
    selection_webshell:
        cs-uri-query|contains:
            - 'LEMURLOOT'
            - 'DEWMODE'
    condition: selection_sqli or selection_api or selection_webshell
level: critical

title: LEMURLOOT Webshell C2 Communication
id: a]clop-lemurloot-c2-002
status: experimental
description: 检测 LEMURLOOT webshell 的 C2 通信特征
author: Threat Intelligence Team
date: 2026/06/21
references:
    - https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a
tags:
    - attack.persistence
    - attack.t1505.003
    - attack.collection
    - attack.t1005
logsource:
    category: network
    product: http
detection:
    selection_header:
        cs-header-name: 'X-siLock'
    selection_body:
        cs-body|contains:
            - 'Health Check Service'
    condition: selection_header or selection_body
level: critical

title: Cl0p Data Exfiltration via Cloud Tools
id: a]clop-exfil-cloud-003
status: experimental
description: 检测使用 Rclone/MegaSync 等工具进行的大规模数据外传
author: Threat Intelligence Team
date: 2026/06/21
tags:
    - attack.exfiltration
    - attack.t1567
    - attack.t1041
logsource:
    category: process
    product: windows
detection:
    selection_rclone:
        Image|endswith: '\rclone.exe'
        CommandLine|contains:
            - 'copy'
            - 'sync'
            - 'move'
    selection_mega:
        Image|endswith: '\MEGAcmdServer.exe'
        CommandLine|contains:
            - 'put'
            - 'sync'
    selection_volume:
        CommandLine|contains:
            - '--max-transfer'
            - '--transfers'
    condition: (selection_rclone or selection_mega) and selection_volume
level: high

rule ClopEncryptor_Detect {
    meta:
        description = "Detects ClopEncryptor ransomware variants"
        author = "Threat Intelligence Team"
        date = "2026-06-21"
        reference = "CISA AA23-158A"
        tlp = "AMBER"
    strings:
        $s1 = "*.clop" ascii
        $s2 = "Read Me - How To Decrypt Your Files" ascii
        $s3 = "CL0P^_-LEAKS" ascii
        $s4 = "vssadmin delete shadows" ascii
        $s5 = "Your personal ID for decryption" ascii
        $hex1 = { 48 8B 05 ?? ?? ?? ?? 48 89 44 24 ?? 48 8D 15 }
        $hex2 = { E8 ?? ?? ?? ?? 48 8B D8 48 85 C0 0F 84 }
    condition:
        2 of ($s*) or ($hex1 and $hex2)
}

rule LEMURLOOT_Webshell {
    meta:
        description = "Detects LEMURLOOT webshell used in MOVEit attacks"
        author = "Threat Intelligence Team"
        date = "2026-06-21"
        reference = "CISA AA23-158A"
        tlp = "AMBER"
    strings:
        $s1 = "X-siLock" ascii
        $s2 = "moveitaspi.dll" ascii
        $s3 = "guestaccess.aspx" ascii
        $s4 = "LEMURLOOT" ascii
        $s5 = "UploadType=resumable" ascii
        $re1 = /SELECT\s+.*\s+FROM\s+.*\s+WHERE/i
    condition:
        3 of ($s*) or ($re1 and any of ($s*))
}

            低影响    中影响    高影响    极高影响
可能性      │         │         │         │
极高        │         │         │    ★    │  ← MOVEit 类攻击
高          │         │         │    ★    │  ← Cleo/Oracle 攻击
中          │         │    ★    │         │  ← 钓鱼/传统入侵
低          │         │    ★    │         │  ← 供应链渗透
            │         │         │         │