L’evoluzione delle minacce cibernetiche ha trasformato l’estorsione digitale in una crisi sistemica. Al centro di questa trasformazione si staglia Cl0p, un nome derivato dalla parola russa “Клоп” (Klop), che significa letteralmente “cimice da letto” (Bedbug) . Proprio come il parassita, questo malware è progettato per essere piccolo, silenzioso e difficilmente eradicabile. Il gruppo ha scelto questo nome per sottolineare la sua natura di minaccia adattabile e persistente, capace di annidarsi silenziosamente nelle reti aziendali per “nutrirsi” dei dati vitali .
Questa analisi fonde l’inchiesta sulle identità dei criminali dietro il gruppo con gli strumenti tecnici necessari per identificare e bloccare le loro operazioni.
L’Inchiesta di Ryan Moran: Decriptare l’Invisibile
Gran parte di ciò che sappiamo sulla struttura interna di Cl0p deriva dal lavoro investigativo del ricercatore Ryan Moran, che è riuscito a mappare il nucleo operativo incrociando dati dai forum underground russi Exploit.in e XSS.is .
La Prova Statistica della Collaborazione
Moran ha utilizzato un approccio matematico per confermare i legami tra i vari attori. Attraverso il calcolo del coefficiente di correlazione di Pearson applicato al volume dei post mensili, ha individuato un “lag” di 5 mesi tra l’attività del fornitore di loader (orlylyly) e l’operatore principale (j0nny) .
In termini matematici, la correlazione di picco $r = 0,2453$ a un intervallo di $-5$ mesi suggerisce un chiaro rapporto fornitore-operatore: il tempo necessario per acquisire una nuova capacità tecnica, testarla e distribuirla operativamente prima di una campagna .
I Volti dietro il Codice: Storie e Profili
Grazie alle indagini OSINT, oggi disponiamo di dettagli biografici sui membri chiave di Cl0p .
Andrei Vladimirovich Tarasov (AELS / Lavander)
Nato il 20 ottobre 1990 a Sarov, Russia, Tarasov è considerato lo sviluppatore principale e l’architetto dei sistemi di distribuzione .
- L’Arresto a Berlino: È stato arrestato il 18 luglio 2023 a Berlino, dove viveva da tempo. Durante i sei mesi di detenzione nel carcere di Moabit, ha dichiarato all’FBI di aver fornito informazioni su altri hacker per ritorsione dopo aver perso sei amici nella guerra in Ucraina .
- La Fuga: Nonostante le accuse negli USA, un cavillo legale tedesco ha impedito la sua estradizione immediata. Rilasciato il 5 gennaio 2024, è fuggito in Russia, dove oggi ostenta il link al “Most Wanted” del Secret Service sul suo profilo Instagram come un badge d’onore .
Likhogray Maxim Alexandrovich (Baddie)
Residente a Kaliningrad, Likhogray è identificato come l’acquirente di accessi iniziali (Access Buyer) . Operando spesso sotto il marchio del ransomware Royal, Maxim seleziona esclusivamente vittime con fatturati superiori ai 20 milioni di dollari, assicurando che Cl0p colpisca solo bersagli di alto valore .
| Alias | Nome Reale | Ruolo | Nota Investigativa |
| j0nny | Sconosciuto | Operatore Senior | Coordinatore delle negoziazioni dal 2012. |
| AELS | Andrei V. Tarasov | Developer | Sviluppatore del traffico e infrastruttura. |
| Baddie | Maxim A. Likhogray | Access Buyer | Specialista nella selezione dei target. |
| Rastafareye | Sconosciuto | Malware Dev | Responsabile del codice crittografico Cl0p. |
La Genealogia del Male: Da TA505 alle Vulnerabilità MFT
Cl0p è il marchio operativo del gruppo TA505 (noto anche come FIN11 o Lace Tempest), attivo almeno dal 2014 . Negli ultimi anni, il gruppo ha rivoluzionato il cybercrime passando dal tradizionale criptaggio dei file a una strategia di esfiltrazione pura attraverso lo sfruttamento di vulnerabilità zero-day nei software di Managed File Transfer (MFT) .
Cronologia delle Grandi Campagne MFT
Accellion FTA (2020-2021): Oltre 100 organizzazioni colpite tramite la webshell DEWMODE.
GoAnywhere (2023): 130 vittime in 10 giorni sfruttando la CVE-2023-0669.
MOVEit Transfer (2023): La campagna più vasta (CVE-2023-34362), con oltre 3.000 organizzazioni colpite tramite la webshell LEMURLOOT.
Cleo Software (2024-2025): Attacco supply chain focalizzato sui settori logistica e manifatturiero (CVE-2024-50623 e CVE-2024-55956). La campagna ha registrato un’esplosione nel Q1 2025: 389 vittime solo a febbraio 2025 (+1.400% rispetto al 2024), con oltre 400 aziende totali rivendicate nei primi mesi e nuove ondate di leak nel gennaio 2026.
Oracle E-Business Suite (2025): Nuova campagna zero-day (CVE-2025-61882, CVSS 9.8) sfruttata da agosto 2025. Dozzine di organizzazioni colpite con esfiltrazione massiva di dati; da settembre 2025 Cl0p ha inviato email di estorsione dirette agli executive usando account compromessi, con tattiche “quadruple extortion”. Il gruppo ha pubblicato nuove vittime sul leak site anche a novembre 2025 e gennaio 2026.
Cl0p ha accumulato centinaia di milioni di dollari in ricavi dal 2019, con un modello ormai prevalentemente “encryption-optional” focalizzato su data theft puro.
Sezione Tecnica: Manuale di Threat Hunting e Difesa
Per gli amministratori della sicurezza, identificare la presenza di Cl0p richiede un monitoraggio attento degli artefatti lasciati dalla webshell LEMURLOOT.
1. Rilevamento nei Log IIS (Internet Information Services)
LEMURLOOT (spesso rinominata human2.aspx) utilizza header HTTP personalizzati per l’autenticazione. Cercate riferimenti a X-siLock-Comment nei vostri log IIS.
Script Python per lo scanning automatico dei log:
Python
import os
# Directory log IIS standard
log_path = "C:\\inetpub\\logs\\LogFiles\\W3SVC1"
# Indicatori di compromissione (IoC)
ioc_patterns =
def hunt_cl0p_logs(path):
print(f"[*] Scansione log in corso...")
for root, _, files in os.walk(path):
for file in files:
if file.endswith(".log"):
with open(os.path.join(root, file), 'r', errors='ignore') as f:
for i, line in enumerate(f):
if any(p in line for p in ioc_patterns):
print(f"[!] Sospetta Webshell in {file} (riga {i+1}): {line.strip()}")
if __name__ == "__main__":
hunt_cl0p_logs(log_path)
2. Forensics del Database (MOVEit / MFT)
Cl0p crea spesso account amministrativi con nomi mimetici per mantenere la persistenza.
Query SQL per identificare account sospetti:
SQL
-- Cerca l'account mimetico "Health Check Service"
SELECT Username, RealName, Permission FROM users
WHERE RealName = 'Health Check Service' OR LoginName = 'Health Check Service';
-- Identifica sessioni con timeout infinito (usate per l'esfiltrazione continua)
SELECT * FROM activesessions WHERE Timeout = 9999;
3. Regole YARA per l’analisi dei file
Utilizzate questa regola per scansionare il server alla ricerca di LEMURLOOT .
Snippet di codice
rule Detect_LEMURLOOT_Webshell {
meta:
description = "Rileva webshell LEMURLOOT utilizzata da Cl0p"
strings:
$header = "X-siLock-Comment"
$sql = "SELECT Username FROM users WHERE InstID={0} AND Permission=30"
$azure = "AzureBlobStorageAccount"
condition:
uint16(0) == 0x3c25 and 2 of them // 0x3c25 è il marker per ASP.NET <%
}
Il Fronte Italiano: Sanità e Infrastrutture Critiche
L’Italia è un bersaglio prioritario per TA505. Nel 2024, gli incidenti confermati dall’Agenzia per la Cybersicurezza Nazionale (ACN) sono aumentati dell’89,1% rispetto al 2023. Il settore sanitario è particolarmente vulnerabile: una singola cartella clinica può valere fino a 1.000 dollari sul dark web.
Un caso chiave è l’attacco all’ASST Rhodense nel giugno 2024. Sebbene rivendicato da Cicada3301, le indagini mostrano una sovrapposizione tattica con i metodi di Cl0p: accesso tramite un appaltatore terzo, permanenza nella rete per un anno ed esfiltrazione di 1 TB di dati sensibili.
Strategie di Difesa e Resilienza
Per difendersi efficacemente da un attore come Cl0p, non basta applicare patch. È necessaria una difesa in profondità :
- Isolamento MFT: Collocare i server di trasferimento file in DMZ isolate e limitare il traffico HTTP solo a IP aziendali autorizzati.
- Monitoraggio Anomalie: Rilevare volumi di traffico insoliti in uscita (es. 600 GB verso IP sconosciuti in Est Europa).
- Logging Immutabile: Esportare i log web e database su server SIEM esterni per impedire agli attaccanti di cancellare le proprie tracce .
FAQ: Domande Frequenti sulla Minaccia Cl0p
Chi è Ryan Moran?
È il ricercatore di sicurezza che ha smascherato le identità dei membri di Cl0p incrociando dati forum e analisi statistiche .
Perché il gruppo usa nomi come “friendly Cl0p”?
È una tattica psicologica utilizzata nelle note di riscatto per apparire come un partner commerciale che ha semplicemente trovato dei bug nella vostra rete, inducendo le vittime a pagare più facilmente .
Il pagamento del riscatto protegge davvero i dati?
Non vi è alcuna garanzia. Sebbene Cl0p tenda a non pubblicare i dati di chi paga per mantenere la propria “reputazione commerciale”, i dati potrebbero comunque essere conservati o venduti privatamente .
Conclusioni: L’Infinita Rincorsa
Il caso Cl0p ci insegna che il cybercrime è una macchina organizzata. Finché esisteranno talenti criminali protetti da confini geopolitici, il “Bedbug” continuerà a mutare. La difesa non è più solo una questione di software, ma di intelligence, monitoraggio costante e cultura della resilienza .
