TA505: Profil, Taktiken & Schutz

Iframe is blocked. Accept cookies to load it.

Manage Consent Präferenzen

Essentials

Immer aktiv

Technisch notwendig für die Grundfunktion der Website. Diese Cookies können nicht deaktiviert werden.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Analytics

Helfen uns zu verstehen, wie Besucher unsere Website nutzen. Die Daten werden anonymisiert erhoben und dienen der Verbesserung unseres Angebots.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Marketing

Werden für personalisierte Werbung und Reichweitenmessung eingesetzt. Ohne Ihre Zustimmung werden keine Marketing-Cookies gesetzt.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Description

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Personalization

Speichern Ihre individuellen Einstellungen und ermöglichen erweiterte Funktionen wie gespeicherte Präferenzen.

Name des Anbieters

Datenschutzbestimmungen

Name

Tracker Name

Beschreibung

Tracker description

Type

Tracker type

Retention:

Tracker retention

Kein Tracker gefunden, in dieser Kategorie.

Kein Anbieter gefunden, in dieser Kategorie.

Thank you! Your submission has been received!

Oops! Something went wrong while submitting the form.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Kurz erklärt

TA505 ist eine seit Jahren aktive, finanziell motivierte Cybercrime-Gruppe, bekannt für Massen-Malware-Kampagnen (u. a. Dridex) und enge Verbindungen zu den Cl0p-Ransomware- und Datenerpressungs-Operationen. Die Gruppe agiert mit großem Volumen und wechselnden Ladern.

Aktiv

Modell

Cybercrime-Syndikat; betreibt die Cl0p-Ransomware

Auch bekannt als

TA505, Graceful Spider, Hive0065; Betreiber von Cl0p

Gegründet

ca. 2014

Entstanden aus

Langjähriges Cybercrime-Kollektiv (Dridex/Locky-Ära)

Herkunft

Russland (vermutet, russischsprachig)

Zielsektoren

Finanzwesen, dann branchenübergreifend (Massen-Exploits)

Zielregionen

Global, inkl. DACH

Typisches Lösegeld

100.000 – mehrere Mio. USD (Cl0p-Kampagnen)

Opferzahl

Massenerpressung via Managed-File-Transfer-Zero-Days – MOVEit 2023: 2.700+ Organisationen

File Extensions

über Cl0p: .clop / .C_L_O_P

Ransom Note

über Cl0p: README.txt / !_READ_ME.RTF

Handlungsempfehlungen im Ernstfall

✅ Sofort tun

Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
Managed-File-Transfer-Systeme (MOVEit, GoAnywhere, Cleo) sofort prüfen, patchen oder vom Netz nehmen – TA505s Hauptvektor.
Datenabfluss eingrenzen – die Erpressung erfolgt oft ohne Verschlüsselung, rein über gestohlene Daten.
Betroffene Systeme isolieren, aber nicht ausschalten; Vorfall dokumentieren.
Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.

⛔ Unbedingt vermeiden

Nicht vorschnell Lösegeld zahlen – keine Garantie für Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
Dateiübertragungs-Software nicht ungepatcht am Internet lassen – genau hier setzt TA505 an.
Systeme nicht neu aufsetzen, bevor die Forensik gesichert ist.
Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
Den Datenabfluss nicht unterschätzen – auch ohne Verschlüsselung drohen Veröffentlichung und Meldepflichten.
Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

MOVEit-Transfer-Massenausnutzung (2023, CVE-2023-34362, 2.700+ Opfer)
GoAnywhere MFT (2023), Accellion FTA (2020/21), Cleo (2024)

Angriffstechniken (TTPs)

Initial Access: historisch Massen-Phishing (Dridex, FlawedAmmyy); heute Zero-Day-Exploits gegen Managed-File-Transfer-Software.
- CVEs: CVE-2023-34362 (MOVEit), GoAnywhere, Accellion FTA, Cleo CVE-2024-50623
- MITRE: T1190, T1566, T1195
Vorgehen: massenhafte Datenexfiltration, Erpressung über die Cl0p-Leak-Site (teils ohne Verschlüsselung).

Technologie & Malware

Arsenal: Dridex, FlawedAmmyy, Get2/SDBbot, Truebot; betreibt die Cl0p-Ransomware.

Rolle: spezialisiert auf groß angelegte Ausnutzung von Dateiübertragungs-Software – ein einziger Zero-Day trifft hunderte Organisationen gleichzeitig.

Indicators of Compromise (IOCs)

Über Cl0p: Endung .clop, Note README.txt
Ausgenutzte CVEs: CVE-2023-34362 (MOVEit), CVE-2024-50623 (Cleo)
Tools: Dridex, Truebot, SDBbot
Verweis: siehe auch Profil Cl0p

Was Unternehmen jetzt prüfen sollten

E-Mail-Security gegen Massen-Phishing und Loader
Patch-Management (siehe Cl0p: Datei-Transfer-Software)
Erkennung von Datenexfiltration

Wie Argos unterstützt

E-Mail-Security, Angriffsflächen-Management und 24/7-Erkennung im Cyber Defense Center adressieren TA505- und Cl0p-nahe Aktivität.

Incident Response anfordern

IR-Retainer →Managed XDR →Alle Threat Actors →