Clop
Clop, 13 Mar 2020 tarihinden bu yana sızıntı sitesinde 1.304 kurumu ilan etti.
Aylık ilan
- Toplam ilan
- 1.304
- İlk ilan
- 13 Mar 2020
- Son ilan
- 21 Eki 2026
- MITRE ATT&CK tekniği
- 31
Cl0p olarak bilinen fidye yazılımı grubu, daha önce CryptoMix adıyla bilinen bir türün bir varyantıdır. Bu varyantın 2019'da bir kimlik avı kampanyasında son yük olarak dağıtıldığını ve tamamen finansal amaçlı olduğunu, saldırıların TA505 tehdit aktörlerince yürütüldüğünü belirtmek gerekir. O dönemde kötü niyetli aktörler, 'Get2' adlı bir yükleyiciyi düşüren makro etkin bir belgeye yönlendiren kimlik avı e-postaları gönderiyordu. Sistemde ya da altyapıda ilk dayanağı elde ettikten sonra aktörler, fidye yazılımının dağıtımına hazırlanmak için keşif, yanal hareket ve veri sızdırma teknikleri kullanmaya başladı. Fidye yazılımının çalıştırılmasının ardından Cl0p, dosyaların sonuna '.clop' uzantısını ya da '.CIIp, .Cllp ve .C_L_O_P' gibi başka uzantıları ekler; şifrelemeden sonra fidye notunun farklı sürümleri de gözlemlendi. Varyanta bağlı olarak fidye metin dosyalarından herhangi biri 'ClopReadMe.txt, README_README.txt, Cl0pReadMe.txt ve READ_ME_!!!.TXT' gibi adlarla oluşturuldu. Clop operasyonu, son yükünü kimlik avıyla dağıtmaktan vazgeçip kurbanların altyapılarının istismarına ve enfeksiyonuna yol açan zafiyetleri kullanarak saldırı başlatmaya geçti.
Son 12 ayda 180 ilan verdi; en yoğun ay Şubat 2026 oldu (79 ilan).
Diğer adları: Cl0p
En çok hedeflenen ülke Amerika Birleşik Devletleri: 457 ilan, toplamın %35 kadarı.
En çok hedeflenen sektör Teknoloji: 242 ilan, toplamın %19 kadarı.
Hedef aldığı ülkeler
Hedef aldığı sektörler
1.304 sonucun 10 tanesi gösteriliyor
Grubun saldırılarında 11 aşamaya yayılan 31 MITRE ATT&CK tekniği belgelendi.
- 1
İlk erişim
Kurum ağına ilk giriş yapılır.
T1078Valid accountsT1190Exploit public-facing applicationT1566.001Phishing: Spear-phishing attachment - 2
Çalıştırma
Zararlı kod hedef sistemde çalıştırılır.
T1059Command and scripting interpreterT1106Native APIT1204User execution - 3
Kalıcılık
Yeniden başlatma ve parola değişikliğinden sonra da erişim korunur.
T1543.003Create or modify system process: Windows serviceT1547Boot or logon autostart execution - 4
Yetki yükseltme
Daha yüksek yetkili hesaplara geçilir.
T1068Exploitation for privilege escalationT1484.001Domain Policy modification: Group Policy modificationT1574Hijack execution flow - 5
Savunmadan kaçınma
Güvenlik yazılımları ve kayıtlar atlatılır.
T1036.001Masquerading: invalid code signatureT1055.001Process injection: DLL injectionT1070.001Indicator removal on host: clear Windows event logsT1070.004Indicator removal on host: file deletionT1140Deobfuscate/Decode files or informationT1202Indirect command executionT1562.001Impair defenses: disable or modify tools - 6
İç keşif
Ağdaki sistemler, hesaplar ve veriler haritalanır.
T1012Query registryT1018Remote system discoveryT1057Process discoveryT1063Security software discoveryT1082System information discoveryT1083File and directory discovery - 7
Yanal hareket
Ağ içinde başka sistemlere geçilir.
T1021.002Remote services: SMB/Windows admin sharesT1570Lateral tool transfer - 8
Veri toplama
Sızdırılacak veriler seçilir ve bir araya getirilir.
T1005Data from local system - 9
Komuta ve kontrol
Ele geçirilen sistemlerle uzaktan iletişim kurulur.
T1071Application Layer Protocol - 10
Veri sızdırma
Veriler kurum dışına çıkarılır; ilandaki yayımlama tehdidi bu veriye dayanır.
T1567Exfiltration over web service - 11
Etki
Sistemler şifrelenir ya da hizmet durdurulur.
T1486Data encrypted for impactT1490Inhibit system recovery
Fidye grubu ne yapar?
Fidye yazılımı grupları kurum ağına sızar, veriyi kurum dışına çıkarır ve sistemleri şifreler. Ödeme yapılmazsa kurumu sızıntı sitesinde ilan eder ve veriyi yayımlamakla tehdit eder.
Clop kurumlara nasıl giriyor?
Kurum ağına ilk giriş yapılır.
- T1078 · Valid accounts
- T1190 · Exploit public-facing application
- T1566.001 · Phishing: Spear-phishing attachment
Hangi önlemler öne çıkıyor?
Belgelenen tekniklere göre öncelikli önlemler:
- İnternete açık VPN, uzak masaüstü ve güvenlik duvarı arayüzlerini güncel tutun; bu hesaplarda çok adımlı doğrulamayı zorunlu kılın.
- Betik ve makro çalıştırmayı yalnız ihtiyacı olan kullanıcılara açın; uç nokta korumasında davranış kurallarını etkin tutun.
- Yeni oluşturulan hizmetleri, zamanlanmış görevleri ve başlangıç kayıtlarını izleyin.
- Yerel yönetici hesaplarını azaltın; ayrıcalıklı işlemleri ayrı ve izlenen hesaplarla yapın.
- Güvenlik yazılımının kapatılmasını ve kayıtların silinmesini alarm olarak tanımlayın.
- Kısa sürede çok sayıda sorgu yapan hesapları ve olağandışı ağ taramalarını izleyin.
- Ağı bölümlere ayırın; yönetim protokollerini yalnız yönetim ağından erişilebilir tutun.
- Büyük hacimli dosya arşivleme işlemlerini izleyin.
- Uzaktan yönetim araçlarının onaysız kullanımını engelleyin.
- Bulut depolama ve dosya aktarım hizmetlerine giden olağandışı veri hacmini izleyin.
- Ağdan ayrılmış, değiştirilemez yedek tutun ve geri yüklemeyi düzenli olarak deneyin.
Kurumunuz bir sızıntı sitesinde ilan edilirse ne yapmalısınız?
- İlanı ve yayımlanan örnek dosyaları kayıt altına alın; ilan sitesine kurum ağından erişmeyin.
- Etkilenen sistemleri ağdan ayırın ve kayıtları silmeden koruyun.
- Hangi verinin kurum dışına çıktığını belirleyin; kişisel veri varsa bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
- Fidye talebiyle ilgili kararı hukuk, yönetim ve olay müdahale ekibiyle birlikte verin.
- Saldırganın girdiği yolu kapatmadan sistemleri yeniden devreye almayın.
Kurumunuzun adı geçiyor mu?
Alan adınızla arama yaparak fidye ilanlarında, sızan kayıtlarda, forumlarda ve Telegram kanallarında görünüp görünmediğinizi kontrol edin.
Alan adınızla arayınIntelligence 360
Infostealer Detection'ın üstüne müşteri istihbaratı: sitenize giriş yapan son kullanıcıların sızan hesapları da görünür.