Recuperação de Ataque Cl0p (Clop)
Resposta direta
Cl0p é uma das famílias de ransomware mais sofisticadas, ativa desde 2019. Especializou-se em explorar zero-days em produtos de transferência segura de arquivos: Accellion FTA (2020), SolarWinds Serv-U (2021), GoAnywhere MFT (CVE-2023-0669) e MOVEit Transfer (CVE-2023-34362) que afetou 2.700+ empresas globalmente. Foco em exfiltração massiva mais que em cifragem. HD Doctor opera forense de exfiltração e resposta a notificações ANPD.
Cl0p frequentemente exfiltra dados sem cifrar (extorsão pura). Mesmo sem arquivos criptografados, há obrigação ANPD de notificação em até 72h. Acione resposta imediatamente.
O que é Cl0p
Cl0p é uma operação RaaS associada ao grupo TA505 (FIN11), ativa desde fevereiro de 2019. Evoluiu de pura cifragem para extorsão por exfiltração, explorando zero-days em produtos enterprise file transfer. Campanha MOVEit (maio-junho de 2023) afetou empresas como Shell, BBC, PwC, Maximus, e múltiplas agências do governo americano. Usa AES + RSA para cifragem quando aplicada (extensão .clop ou .Cllp).
Sintomas de comprometimento por Cl0p
- Comunicação anônima recebida por email/Tor com lista de arquivos exfiltrados
- Site darknet 'Cl0p Leaks' citando a empresa
- Logs de MOVEit Transfer / GoAnywhere com web shell instalado (LEMURLOOT)
- Tráfego anormal de saída para IPs Cl0p conhecidos
- Arquivos com extensão .clop, .Cllp ou .Cl0p (quando cifragem aplicada)
- Nota 'ClopReadMe.txt' ou 'README_README.txt'
Vetores de ataque típicos de Cl0p
| Causa | % | Recuperável? |
|---|---|---|
| MOVEit Transfer (CVE-2023-34362) | 60% | Patch + forense de exfiltração |
| GoAnywhere MFT (CVE-2023-0669) | 12% | Patch + forense |
| PaperCut MF/NG (CVE-2023-27350) | 8% | Patch + forense |
| Accellion FTA (legado, 2020-2021) | 8% | Substituição + forense |
| Phishing direcionado | 7% | Treinamento + restore |
| Outros / não identificado | 5% | Análise caso a caso |
Distribuição baseada em CISA AA23-158A (MOVEit) e relatórios Mandiant.
O que NÃO fazer ao identificar Cl0p
- 1.Não ignore aviso de exfiltração sem arquivos cifrados. Cl0p frequentemente NÃO cifra; só extorque pelo vazamento. Notificação ANPD continua obrigatória.
- 2.Não apague logs MOVEit / GoAnywhere imediatamente. Logs contêm evidência de upload de web shell e exfiltração via cURL/Python. Preserve antes de qualquer ação.
- 3.Não pague sem prova de não-vazamento. Mesmo pagando, vazamentos podem ocorrer (caso Maximus, Shell). Pagamento não para extorsão de terceiros que receberam o dado.
- 4.Não restaure MOVEit sem patch. Restore para versão vulnerável (CVE-2023-34362) reabre a porta. Aplicar patch CRITICAMENTE antes de subir o serviço.
- 5.Não trate como caso isolado. Campanhas Cl0p atingem muitas empresas simultaneamente via mesma vulnerabilidade. Conferir IoCs do CISA para sua versão MOVEit.
Processo HD Doctor para resposta Cl0p
Resposta focada em forense de exfiltração e cumprimento ANPD.
- 1
Triagem (0 a 6h)
Identificação de produtos vulneráveis (MOVEit, GoAnywhere, PaperCut), isolamento, snapshot de servidores afetados, preservação de logs IIS e do produto.
- 2
Forense de web shell (6 a 48h)
Identificação de web shell LEMURLOOT (human2.aspx ou similar), análise de uploads e downloads, identificação de credenciais e arquivos exfiltrados via timeline IIS.
- 3
Análise de exfiltração (24 a 72h)
Cruzamento de logs IIS, firewall e MOVEit para identificar quais arquivos foram baixados pelo atacante, com hash dos arquivos exfiltrados.
- 4
Notificação ANPD (até 72h)
Apoio à montagem do dossiê para notificação ANPD: lista de titulares afetados, tipo de dado, mitigação aplicada, plano de comunicação.
- 5
Hardening e laudo (5 a 25 dias)
Patch MOVEit/GoAnywhere, WAF na frente de produtos de transferência, monitoramento contínuo, EDR. Laudo técnico forense.
SLA típico para resposta Cl0p
| Cenário | Prazo |
|---|---|
| Triagem inicial | 0 a 6h |
| Forense de web shell | 24 a 48h |
| Análise completa de exfiltração | 48 a 72h |
| Dossiê para notificação ANPD | Antes de 72h pós-ciência |
| Laudo técnico final | 15 a 30 dias úteis |
- Notificação ANPD em até 72h é obrigação legal sob LGPD (Art. 48).
Produtos afetados pelas campanhas Cl0p
| Família | Suporte | Notas |
|---|---|---|
| Progress MOVEit Transfer | ✅ Forense completa + patch | CVE-2023-34362, 2.700+ vítimas globais |
| Fortra GoAnywhere MFT | ✅ Forense completa + patch | CVE-2023-0669 |
| PaperCut MF/NG | ✅ Forense + patch | CVE-2023-27350 |
| Accellion FTA (descontinuado) | ✅ Análise legacy | Recomenda migração |
| Windows IIS / web servers | ✅ Forense de web shell | Detecção de LEMURLOOT |
Por que HD Doctor para resposta Cl0p
- 🔍Especialistas em forense de exfiltração e detecção de web shells em produtos de transferência segura.
- ⚡Resposta 24×7 com prioridade para casos com prazo ANPD apertado.
- 📋Apoio jurídico-técnico para notificação ANPD em até 72h, com dossiê estruturado.
- 🛡️Hardening específico de MOVEit/GoAnywhere/PaperCut pós-incidente, com WAF e monitoramento.
- 💼Casos reais de campanha MOVEit no Brasil documentados.
Perguntas frequentes sobre Cl0p
Cl0p só rouba ou também cifra?
Depende da campanha. Em 2019-2022 cifrava agressivamente. Desde 2023 (MOVEit, GoAnywhere) muitas campanhas só exfiltram e extorquem pelo vazamento, sem cifrar. Ambos os modos exigem notificação ANPD se dado pessoal envolvido.
Fui afetado pela campanha MOVEit Cl0p?
Verifique: (1) versão do MOVEit Transfer instalado em maio-junho de 2023; (2) presença de web shell human2.aspx ou similar; (3) atividade anormal em logs IIS no período; (4) nome da empresa em listas vazadas no Cl0p Leaks. Nosso playbook inclui todos esses checks.
Pagar resgate ao Cl0p evita vazamento?
Histórico mostra que NÃO. Casos documentados (Maximus, Shell, PwC e outros) tiveram dados vazados mesmo após pagamento. Pagamento financia mais ataques e pode violar OFAC. Foco deve ser em mitigação, notificação ANPD e plano de comunicação aos titulares.
Existe decryptor para Cl0p?
Para variantes antigas (2019-2021) há decryptor parcial da Bitdefender. Para variantes recentes (2022+) não há decryptor público. Como muitas campanhas Cl0p só exfiltram sem cifrar, o foco da resposta é forense e ANPD, não decryptor.
Quanto tempo até finalizar o caso Cl0p?
Forense e ANPD: 7 a 30 dias. Restore (se houve cifragem): 7 a 30 dias adicionais. Notificação aos titulares afetados: 30 a 60 dias. Laudo técnico final para uso judicial: 30 a 60 dias.
Comprometido pelo Cl0p?
Prazo ANPD aperta em 72h. Acione resposta imediatamente.