Was ist Clop Ransomware?

Die Clop-Ransomware gehört zur berüchtigten Cryptomix-Familie, die es auf Systeme mit Sicherheitslücken abgesehen hat. Die Clop-Ransomware kann Dateien verschlüsseln und die Erweiterung .Clop anhängen. Ihr Name leitet sich vom russischen Wort „Klop“ ab, was Bettwanze bedeutet – ein Insekt aus der Familie der Cimex, das sich nachts von menschlichem Blut ernährt.

Diese Ransomware wurde erstmals 2019 von Michael Gillespie beobachtet. Sie war kürzlich an der Ausnutzung von Sicherheitslücken in MOVEit Transfer und MOVEit Cloud um 500 Millionen US-Dollar von verschiedenen Unternehmen zu erpressen.

Was ist Clop Ransomware?

Clop Ransomware ist eine Art von Malware die Dateien auf dem System eines Opfers verschlüsselt und sie unzugänglich macht, bis ein Lösegeld an die Hacker gezahlt wird. Die Ransomware ist für ihre doppelte Erpressungsstrategie bekannt, bei der nicht nur Dateien verschlüsselt werden, sondern auch sensible und vertrauliche Informationen vom Gerät oder Netzwerk des Opfers exfiltriert werden. Wenn das Lösegeld nicht gezahlt wird, drohen sie mit der Veröffentlichung der gestohlenen Daten, was zu schwerwiegenden Datenschutzverletzungen und Rufschädigung für Unternehmen und Einzelpersonen führen kann.

Clop-Ransomware wird häufig über Phishing-E-Mails, bösartige Anhänge oder durch Ausnutzung von Zero-Day-Schwachstellen in Software. Sobald sie ein System infiziert hat, sucht sie nach wichtigen Dateien, verschlüsselt sie und fordert eine Lösegeldzahlung, meist in Kryptowährung, im Austausch für einen Entschlüsselungsschlüssel.

Gemeinsame Indikatoren der Clop-Ransomware sind Verschlüsselungserweiterungen, Datei-Hashes und IP-Adressen. Böswillige Akteure benennen die angegriffenen Dateien mit den Erweiterungen .clop oder .CIop (großes i anstelle eines kleinen L) um. Außerdem werden die Erpresserbriefe als ClopReadMe.txt oder CIopReadMe.txt gespeichert (großes i anstelle eines kleinen L).

Schützen Sie sich vor Ransomware mit PowerDMARC!

Wie funktioniert die Clop-Ransomware?

Clop geht strategisch vor, damit es unentdeckt bleibt. So läuft es ab.

1. Infektion Vektor

Clop-Ransomware beginnt mit der Exfiltration von Systemen durch das Versenden von Phishing-E-Mails mit infizierten Downloads oder Links, das Einschleusen von Malware, die Installation von Exploit-Kits usw. Eine weitere gängige Taktik ist der Versand von E-Mails mit bösartigen HTML-Anhängen, die das Opfer zu einem makroaktivierten Dokument führen. Dadurch wird der Get2-Loader installiert, der den Download infizierter Tools und Programme wie SDBOT, FlawedAmmyy und Cobalt Strike.

2. Erster Kompromiss

Nachdem sie sich Zugang verschafft hat, führt die Ransomware die Nutzlast aus und beginnt mit ihren bösartigen Aktivitäten auf dem angegriffenen Gerät oder Netzwerk. Es ist wahrscheinlich, dass sie sich seitlich im Netzwerk ausbreitet, um andere Systeme und Server zu infizieren.

3. Dateiverschlüsselung

Er verwendet einen starken Verschlüsselungsalgorithmus, um Dateien auf dem System des Opfers zu verschlüsseln. Dazu gehören wichtige Daten wie Dokumente, Bilder, Datenbanken und andere Dateien, die für das Opfer wichtig sein könnten. Auf diese Weise erhalten sie die Kontrolle über ihre Daten und werden unter Druck gesetzt, schnell Lösegeld zu zahlen. 

4. Umbenennung von Dateien

Verschlüsselte Dateien werden oft mit einer bestimmten Erweiterung umbenannt, z. B. ".clop", wodurch sie leicht als von Clop verschlüsselt identifiziert werden können.

5. Lösegeldforderung

Die Clop-Ransomware hinterlässt in der Regel eine Lösegeldforderung in jedem Ordner, der verschlüsselte Dateien enthält. Diese Notiz enthält Anweisungen für das Opfer, wie es das Lösegeld (in der Regel in Kryptowährung) zahlen kann, um den Entschlüsselungsschlüssel zu erhalten.

6. Datenexfiltration und doppelte Erpressung

Sie verschlüsseln nicht nur Dateien gegen Lösegeld, sondern exfiltrieren auch sensible Daten und drohen dem Opfer, die Informationen preiszugeben, wenn das Lösegeld nicht innerhalb eines bestimmten Zeitrahmens gezahlt wird. Sie können die Opfer auch damit einschüchtern, dass sie die gestohlenen Daten an Konkurrenten oder im Dark Web verkaufen werden, was den Druck weiter erhöht.

7. Persistenz und Verschleierung

Clop ransomware kann versuchen, im System zu verbleiben, indem sie Hintertüren erstellt oder Systemeinstellungen verändert. Sie kann auch Techniken anwenden, um die Erkennung durch Antiviren-Software oder Sicherheitstools zu umgehen.

8. Lösegeldverhandlung

Wie bereits erwähnt, hinterlassen die Hacker eine Lösegeldforderung, die dann auch als Kommunikationsmittel verwendet wird (hauptsächlich über einen TOR-basierten Chat oder E-Mail), damit die Opfer die Lösegeldzahlung aushandeln und Anweisungen zur Entschlüsselung der Geiseldaten erhalten können.

Was ist zu tun, wenn Sie bereits Opfer eines Clop-Ransomware-Angriffs geworden sind?

Wenn Sie auf die Indikatoren der Clop-Ransomware stoßen, isolieren Sie sofort die infizierten Systeme und Netzwerke, um zu verhindern, dass sie sich ausbreitet und die Situation verschlimmert. Ermitteln Sie das Ausmaß des Angriffs. Stellen Sie fest, welche Systeme und Daten verschlüsselt wurden und ob Daten exfiltriert wurden. Dokumentieren Sie die Ergebnisse, da Sie diese Informationen möglicherweise für Versicherungsansprüche oder Strafverfolgungsberichte benötigen.

Der Umgang mit all dem kann kompliziert sein, daher sollten Sie professionelle Hilfe in Anspruch nehmen. Außerdem müssen Sie den Angriff den Strafverfolgungsbehörden melden. Diese können Sie unterstützen, zukünftige Angriffe verhindern und möglicherweise die Täter aufspüren.

Wir raten Ihnen außerdem, die Beweise für die Ausnutzung des Systems für weitere Untersuchungen zu sichern. Dazu gehören in der Regel Protokolle und Erpresserbriefe.

Die meisten Unternehmen erstellen Sicherungskopien, und wenn Sie zu diesen Unternehmen gehören, sollten Sie die Daten nach der Reinigung Ihres Systems wiederherstellen, damit eine erneute Infektion ausgeschlossen werden kann. Wenn Hacker nicht auf doppelte Erpressung aus sind, kann das Wiederherstellen der Backups die Rettung sein! 

Strategien zur Verhinderung von Clop Ransomware

In Anbetracht der Schäden, die sie verursachen können, ist es umso wichtiger, in Ihrem Unternehmen einige Präventivmaßnahmen zu ergreifen, um Clop Ransomware und ähnliche Angriffe zu verhindern.

• Gepatchte Software und Geräte

Nicht gepatchte Software und Geräte sind leicht zu knacken, weshalb Hacker sich gerne in sie einschleichen. Die Schwachstellen solcher Software und Geräte sind gut dokumentiert, was Hackern einen Vorteil verschafft, da sie keine neuen Einbruchsmethoden entdecken müssen. Sie nutzen einfach, was bereits bekannt ist!

Mit der Einführung von Cybercrime-as-a-Service oder CaaS sind viele Tools zu günstigeren Preisen erhältlich, die dafür bekannt sind, dass sie bestimmte Arten von ungepatchter Software ausnutzen. Dies ist ein weiterer guter Grund für Hacker, Ihre nicht aktualisierten Systeme ins Visier zu nehmen. Vernachlässigen Sie also keine Update-Benachrichtigungen.   

• Team Ausbildung

Sie können unmöglich auf alle Geräte, Systeme, Netzwerke, Dateien, E-Mails usw. achten, um Anzeichen für Clop-Ransomware zu erkennen. Schulen Sie daher Ihre Teammitglieder, unabhängig von ihrer Abteilung, darin, die Anzeichen von Angriffen zu erkennen. Denken Sie daran: Bei Social-Engineering-Angriffen sind Ihre Mitarbeiter Ihre erste Verteidigungslinie!

Planen Sie regelmäßige Besprechungen für Teams, die Board-Management-Software verwenden, um sie über Gerätesicherheit, Software-Updates und Datenschutz zu unterrichten. Sie sollten wissen, wie sie verdächtige oder potenziell gefährliche Aktivitäten an die richtige Person melden können. Wenn Ihr Team remote arbeitet, sollten Sie es außerdem in bewährten Verfahren zur Sicherung von Heimnetzwerken und -geräten schulen, z. B. in der Verwendung von VPNs und sicherem Wi-Fi.

Ermutigen Sie vor allem dazu, Passwort-Manager zu verwenden, sichere, eindeutige Passwörter festzulegen und sie nicht weiterzugeben oder aufzuschreiben.

• Segmentierung des Netzes

Netzwerkfragmentierung ist eine Cybersicherheitsstrategie, bei der ein Netzwerk in kleinere, isolierte Segmente aufgeteilt wird, die durch Sicherheitsmaßnahmen wie Firewalls voneinander getrennt sind. Dieser Ansatz trägt zum Schutz vor Ransomware-Angriffen bei, indem er die Fähigkeit des Angriffs einschränkt, sich über das gesamte Netzwerk zu verbreiten. 

Wenn Clop-Ransomware ein Segment infiziert, kann die Fragmentierung des Netzwerks den Schaden eindämmen und verhindern, dass er andere Teile des Netzwerks erreicht. Darüber hinaus ermöglicht die Überwachung kleinerer Netzwerksegmente den Sicherheitsteams, Bedrohungen effektiver zu erkennen und darauf zu reagieren.

• E-Mail-Filterung

E-Mail-Filter erkennen eingehende E-Mails mit bösartigen Downloads, Links oder Ransomware-Nutzlasten und blockieren deren Eingang. Neuere Versionen von E-Mail-Filter-Tools können das Benutzerverhalten analysieren, um Anomalien zu erkennen und zu melden.

• Sandboxing

Beim Sandboxing werden potenziell riskante Anwendungen oder Codes in einer kontrollierten, isolierten Umgebung, einer so genannten Sandbox, ausgeführt. Eine Sandbox ist vollständig von der eigentlichen technischen Umgebung getrennt. Sie ermöglicht die sichere Ausführung und das Testen von potenziell bösartigem Code.

Diese Methode ermöglicht es den Sicherheitsteams auch, das Verhalten der Ransomware zu untersuchen und Gegenmaßnahmen zu entwickeln. Mithilfe von Sandboxing können Unternehmen Ransomware-Bedrohungen effektiv identifizieren und blockieren, bevor sie Schaden anrichten.

Da E-Mails ein wichtiger Angriffsvektor für Cyberangriffe und Ransomware sind, ist es wichtig, sie zu schützen. Unser DMARC-Analysator ist eine Komplettlösung für Ihre E-Mail-Sicherheitsanforderungen! Probieren Sie es aus, indem Sie eine kostenlosen Testversion für Ihre Domain.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Ist die E-Mail-Verschlüsselung von Outlook HIPAA-konform? Ein vollständiger Leitfaden für 2026 – 5. März 2026
• Quid-pro-quo-Social-Engineering-Angriffe: Wie sie funktionieren und wie man sie stoppt – 3. März 2026
• 5 Lösungen für das Risikomanagement von Unternehmenslieferanten: Vergleich der TPRM-Plattformen für 2026 – 3. März 2026