Actor de amenazas
¿Qué es Clop?
El grupo de ransomware conocido como Cl0p es una variante de una cepa previamente conocida denominada CryptoMix. Vale la pena señalar que esta variante se entregaba como la carga útil final en una campaña de phishing en 2019 y estaba motivada exclusivamente por fines financieros, con ataques llevados a cabo por los actores de amenazas TA505. En ese momento, los actores maliciosos enviaban correos de phishing que conducían a un documento con macros habilitadas que descargaba un loader llamado 'Get2.' Después de obtener un punto de apoyo inicial en el sistema o la infraestructura, los actores comenzaban a usar técnicas de reconocimiento, movimiento lateral y exfiltración para prepararse para el despliegue del ransomware. Tras la ejecución del ransomware, Cl0p agrega la extensión '.clop' al final de los archivos, u otros tipos de extensiones como '.CIIp, .Cllp y .C_L_O_P,' así como diferentes versiones de la nota de rescate que también se observaron después del cifrado. Dependiendo de la variante, cualquiera de los archivos de texto de rescate se creaba con nombres como 'ClopReadMe.txt, README_README.txt, Cl0pReadMe.txt y READ_ME_!!!.TXT.' La operación Clop ha dejado de entregar su carga útil final mediante phishing y ha comenzado a iniciar ataques utilizando vulnerabilidades que resultaron en la explotación e infección de las infraestructuras de las víctimas. Fuente: https://github.com/crocodyli/ThreatActors-TTPs
Si Clop atacó a tu organización, no pagues el rescate sin hablar antes con un especialista. Confirma primero la variante con el identificador gratuito.
- Víctimas en México
- 13
- Última víctima publicada
- 12 de agosto de 2026
- Sector más afectado
- Tecnología
- En seguimiento desde
- 13 de marzo de 2020
- Alias
- Cl0p
Si Clop cifró tus sistemas
- Aísla, no apagues todavía. Desconecta los equipos afectados de la red y del almacenamiento compartido para frenar el cifrado. Apagar de golpe puede destruir claves que aún viven en memoria y que, en algunas familias, permiten recuperar archivos.
- Preserva la evidencia. No borres ni reinstales los equipos cifrados, y conserva las notas de rescate y los archivos con la extensión añadida. Sin esos datos ya no se puede identificar la variante después, y la variante es la que decide si hay recuperación.
- Confirma la variante. El nombre del grupo no basta: los descifradores dependen de la versión exacta. Usa el identificador gratuito con la nota de rescate y la extensión de los archivos.
- Revisa todos los respaldos antes de negociar. Copias offline, instantáneas de volumen, versiones en la nube y respaldos de buzones. En muchos incidentes aparece una copia utilizable que nadie había revisado.
- No pagues bajo el contador. Pagar no garantiza la recuperación y financia el siguiente ataque. Si vas a considerarlo, hazlo con asesoría y después de agotar las vías técnicas.
Descifrador para Clop
Solo algunas familias de ransomware tienen un descifrador gratuito publicado, y casi siempre cubre versiones concretas y no la familia completa. Antes de ejecutar cualquier herramienta, confirma la variante y trabaja siempre sobre una copia de los archivos cifrados: un descifrador de la familia equivocada puede dañar de forma permanente archivos que hoy todavía son recuperables.
Consulta la lista de familias con descifrador gratuito conocido y su fuente oficial, y qué hacer cuando no existe ninguno.
¿Tu organización o un proveedor aparece en la lista de Clop?
Que Clop publique a una organización en su sitio de filtraciones suele significar que ya sacó datos de su red. Si reconoces un nombre en la tabla, todavía hay cosas que revisar en tu propia red.
Cuéntanos qué viste y te decimos qué significa: si la publicación es reciente, qué datos suele filtrar ese grupo y qué revisar primero.