Clop 勒索病毒解密与数据恢复

Clop（自称 CL0P）最早于 2019 年 2 月被识别，与长期活跃的犯罪团伙 TA505、FIN11 关联，微软将相关活动追踪为 Lace Tempest。CISA 与 FBI 于 2023 年 6 月发布 #StopRansomware 公告（AA23-158A），估计其累计影响美国约 3000 家、全球约 8000 家组织。CISA 同时指出，该组织兼具勒索软件即服务运营者、初始访问经纪人与大型僵尸网络运营者三重身份。

它与其他家族最根本的区别在于作案模式：Clop 不靠 VPN 爆破或钓鱼后的横向移动一家家打，而是对企业级文件传输与业务系统的零日漏洞做规模化批量利用——一个漏洞、一次行动、成百上千家受害者。代表性活动包括：

最近一轮活动直接关系到国内大量制造与流通企业。Oracle E-Business Suite 是国内众多大型集团的核心 ERP，其 BI Publisher 集成组件的 CVE-2025-61882 于 2025 年 10 月由 Oracle 紧急发布补丁；而 Clop 早在 2025 年 8 月即开始利用，9 月底起向数十家企业高管直接发送勒索邮件，此后在泄露站点陆续公布受害者名单。这意味着受害企业往往是在收到勒索邮件时才知道自己被打——没有加密、没有告警、没有停机，数据已经出去了。

当前状态：Clop 仍然活跃，活动呈现明显的「波次」特征——平时低调，一旦掌握新的文件传输、ERP 或 PLM 零日便集中爆发。2026 年年中起它已开启新一轮 PLM 方向的批量利用：PTC Windchill / FlexPLM 的 CVE-2026-12569 于 6 月 25 日进入 CISA KEV 目录，8 月 Clop 在泄露站点一次性点名 43 家受害者（包括壳牌、通用电气、飞利浦）。也就是说，当前处于活跃高峰而非回落期，且这一轮的目标资料是研发图纸、BOM 等制造业核心数据。

Clop 的识别需要分两种情形，因为多数现代 Clop 事件根本没有加密文件。

情形一：文件被加密（较少见，多为 2021 年之前或针对性攻击）

• 后缀追加 .clop 或 .C_L_O_P；
• 勒索信为 ClopReadMe.txt 或 README_README.txt，提供 unlock@ 开头的协商邮箱（域名随活动更换）与暗网泄露站点信息；
• Windows 版使用 RSA 封装密钥；Linux（ELF）变种存在硬编码 RC4 主密钥缺陷，可被公开工具解密。

情形二：纯数据窃取勒索（当前主流）——此时没有后缀、没有勒索信 识别要靠系统侧痕迹：

• 文件传输/ERP 系统上出现 Web Shell：MOVEit 活动中的 LEMURLOOT（常伪装为 human2.aspx 等）、Accellion 活动中的 DEWMODE；
• 应用日志中出现异常的大批量文件下载、数据库导出或超大响应；
• Oracle EBS 场景下表现为 BI Publisher 相关组件的异常请求与外部连接；
• PTC Windchill / FlexPLM 场景下出现定制 JSP Web Shell：该 Web Shell 会引用 Windchill 内部类（MethodContext、WTConnection、WTKeyStoreUtil），并以自定义请求头 X-windchill-req 接收指令——可直接按该请求头名检索 Web 访问日志，并排查 Web 目录下的异常 JSP 文件；
• 出口流量在短时间内出现明显异常峰值；
• 企业高管突然收到勒索邮件，附带用于证明的数据样本——很多受害者正是从这一步才知道出事。

关键判断：如果你的 Oracle EBS、MOVEit、GoAnywhere、Cleo 等系统在补丁发布前就暴露在公网，即便当前没有任何告警，也应按「可能已被窃取数据」启动排查，而不是等勒索邮件到来。

Clop 的「传播方式」与常规勒索家族完全不同：它不追求在你的内网里横向扩散，而是直击你放在互联网上的数据枢纽。

1. 企业级文件传输平台的零日漏洞（其标志性打法）。Accellion FTA、Fortra GoAnywhere MFT（CVE-2023-0669）、Progress MOVEit Transfer（CVE-2023-34362 等）、Cleo 系列产品先后被批量利用。这类系统的共性极其危险：天然对公网开放、承载企业间交换的最敏感数据、往往由业务部门而非安全团队管理。攻击者只需在其中植入 Web Shell（如 MOVEit 活动中的 LEMURLOOT、Accellion 活动中的 DEWMODE），即可直接拖走数据库与文件。

2. 核心业务系统的零日漏洞。2025—2026 年的 Oracle E-Business Suite 活动（CVE-2025-61882，BI Publisher 集成组件的未授权远程代码执行，CVSS 9.8）标志着 Clop 把目标从「文件传输」扩展到「ERP 本体」。Oracle 于 2025 年 10 月 4 日紧急发布补丁，而利用早在当年 8 月就已开始——这意味着按时打补丁也未必来得及，必须同时做暴露面收敛与事后排查。

3. 时间差战术。Clop 通常在掌握零日后先大规模静默采集数据，隔数周甚至数月才集中发出勒索邮件、公布受害者名单。这段时间差正是防守方最容易错过的窗口。

4. 钓鱼与僵尸网络。作为 TA505 体系的一部分，Clop 也具备传统钓鱼投毒与僵尸网络分发能力，用于少数需要落地加密的场景。

因此，针对 Clop 的防护重点不在终端，而在「暴露面治理」：清点所有对公网开放的文件传输、ERP、报表与集成组件，确认版本与补丁状态，评估是否必须公网可达，并对这些系统的异常批量下载与外发流量建立专门检测。

讨论 Clop 的「加密特点」必须先说清一件事：在其最近几年的主要活动中，文件往往根本没有被加密。

当前主流：不加密，只窃取。自 2021 年起，Clop 在 Accellion、GoAnywhere、MOVEit、Oracle EBS 等活动中普遍采取纯数据窃取勒索——通过 Web Shell 批量导出数据库与文件，然后以公开泄露相要挟。对企业而言，这意味着业务系统照常运行、没有加密后缀、没有勒索信，破坏性体现在数据泄露与合规责任上，而非停机。

当确实发生加密时：

• Windows 版：文件数据用对称算法加密，密钥用攻击者 RSA 公钥封装。无公开可利用缺陷，无解密工具。加密后追加 .clop 或 .C_L_O_P 后缀，并投放 ClopReadMe.txt / README_README.txt。
• Linux（ELF）变种（2022 年 12 月出现）：存在严重设计缺陷——文件的 RC4 密钥被硬编码在样本中的另一个 RC4 主密钥加密保存。由于是对称算法对称保护，SentinelOne 于 2023 年 2 月发布了公开的 Python 解密脚本。这是 Clop 唯一可解的分支。
• 加密前通常删除卷影副本、停止相关服务。

双重勒索与施压：

• 数据外传后在 CL0P^_- LEAKS 暗网站点分批公布；
• 直接向受害企业高管群发勒索邮件，附数据样本作为凭证；
• 在 MOVEit 等大规模活动中，还会向下游客户与合作方施压，扩大影响面。

处置含义：遇到 Clop 事件时，第一个要回答的问题不是「能不能解密」，而是「哪些数据出去了、涉及哪些个人信息、通报义务与时限是什么」。这与其他勒索家族的处置重心完全不同。