Clop

Grupo de cibercrimen de habla rusa / Europa del Este, sin atribución estatal oficial. Vendors (McAfee, HHS HC3) documentan que el malware comprueba el idioma/teclado del sistema y evita ejecutarse en Rusia y antiguos estados soviéticos; infraestructura de C2 y pagos rastreada hacia Rusia/Europa del Este; patrones de actividad alineados con horario laboral de Europa del Este. El nombre 'Clop' deriva de la palabra rusa 'klop' (chinche/insecto). Mandiant y Microsoft lo vinculan como parte del colectivo financieramente motivado FIN11, que a su vez se superpone con el conglomerado más amplio rastreado como TA505 (Microsoft: 'Lace Tempest', antes 'DEV-0950').

Evolucionó desde ransomware clásico con cifrado (variante de la familia CryptoMix, documentado desde febrero 2019, con capacidad de deshabilitar servicios empresariales como Exchange/SQL Server) hacia un modelo de explotación masiva de vulnerabilidades zero-day/N-day en software corporativo de transferencia de archivos (MFT) para robo de datos puro, sin cifrado, seguido de extorsión en cascada a cientos o miles de víctimas simultáneas tras cada campaña. Es el sello distintivo del grupo desde finales de 2020: explota una vulnerabilidad en un producto MFT ampliamente usado, extrae datos de decenas/cientos/miles de clientes de ese producto en una ventana corta, y luego publica víctimas de forma escalonada en su DLS 'CL0P^_-LEAKS' para presionar el pago.

Clop/FIN11/TA505/Lace Tempest (ex DEV-0950) son, según Mandiant y Microsoft, la misma línea de actividad o clústeres fuertemente superpuestos: FIN11 es la designación de Mandiant para el actor financieramente motivado que opera Clop desde 2019; TA505 es una designación más amplia (usada originalmente por Proofpoint) que, según Mandiant, 'es un paraguas grande, mientras FIN11 es una porción de esa actividad' — Mandiant advierte explícitamente contra usar ambos nombres como sinónimos exactos, aunque en la práctica casi toda la reportería pública los trata como el mismo núcleo. Microsoft renombró el clúster como 'Lace Tempest' (antes DEV-0950) y lo vincula también a MOVEit, GoAnywhere, PaperCut y SysAid. SOBRE KNIGHT/CYCLOPS: no se encontró ninguna fuente abierta (vendor, gobierno o periodística) que vincule a Clop con Cyclops/Knight. Cyclops es una operación RaaS independiente que reclutó afiliados en RAMP desde mayo de 2023 y se renombró 'Knight' a finales de julio de 2023, cuyo código fuente se vendió a finales de febrero de 2024 (posiblemente reutilizado para RansomHub, según una fuente no confirmada). No hay solapamiento documentado de operadores, código, infraestructura ni TTPs entre Clop y Cyclops/Knight: la proximidad en el consenso local de fuentes parece deberse únicamente a similitud fonética ('Cyclops' ~ 'Clop'), no a una relación real. Se recomienda tratarlos como entidades no relacionadas salvo que aparezca evidencia nueva.

Explotación de vulnerabilidades zero-day/N-day en software empresarial de transferencia de archivos (MFT) expuesto a internet como vector de acceso inicial principal (Accellion FTA, SolarWinds Serv-U, GoAnywhere MFT, MOVEit Transfer, Cleo, Oracle E-Business Suite); despliegue de webshells a medida para exfiltración masiva (DEWMODE en Accellion, LEMURLOOT en MOVEit); explotación adicional de PaperCut (CVE-2023-27350/27351) y SysAid on-prem (CVE-2023-47246) para distribuir cargas como TrueBot/Cobalt Strike/FlawedGrace (Gracewire); exfiltración vía herramientas como MegaSync; extorsión mediante publicación escalonada de víctimas en su DLS 'CL0P^_-LEAKS' tras cada campaña de explotación masiva, con plazos de pago y amenazas de venta/filtración de datos; en campañas recientes (Oracle EBS 2025) uso de correos de extorsión masivos enviados desde cientos de cuentas de email comprometidas, con demandas de hasta 50 millones de dólares reportadas en algunos casos.