Lace Tempest
El operador de Cl0p que explota de golpe vulnerabilidades de día cero en software de transferencia de archivos, como MOVEit, para robar datos de miles de organizaciones.
Quién es
Lace Tempest es el nombre que Microsoft le da al grupo con motivación financiera conocido por las operaciones del ransomware Cl0p y por manejar su sitio de extorsión. Su actividad se traslapa con FIN11 y TA505. El Centro Canadiense de Ciberseguridad lo considera casi con certeza un grupo de habla rusa, muy probablemente con base en un país de la Comunidad de Estados Independientes.
Cómo entra
Su sello es explotar en masa vulnerabilidades de día cero en software de transferencia de archivos: Accellion FTA en 2020 y 2021, GoAnywhere MFT a principios de 2023 y MOVEit Transfer desde mayo de 2023. Microsoft también le atribuye la explotación de los servidores de impresión PaperCut y de una falla de día cero de SysAid en 2023.
Qué hace una vez dentro
En MOVEit plantó la web shell LEMURLOOT para robar bases de datos. Desde 2021 prefiere robar a cifrar: escribe a los directivos y publica la información en su sitio de filtraciones. CISA y el FBI estiman que el ecosistema de TA505 comprometió a más de 3,000 organizaciones en Estados Unidos y 8,000 en el mundo.
A quién ataca
Cualquier organización que use el software que explota. En junio de 2023, a través del proveedor de nómina Zellis, se expusieron datos de empleados de la BBC, British Airways y Boots. La marca Cl0p reclamó después las campañas de Cleo en 2024 y de Oracle E-Business Suite en 2025. En nuestra ficha de GOLDVEIN seguimos la extorsión de Cl0p.
Arsenal
En verde, las que ya tienen ficha en nuestro catálogo de armamento; las demás llevan a MITRE.
Vulnerabilidades que explota
| CVE | Producto | CVSS | KEV de CISA |
|---|---|---|---|
| CVE-2023-27350 | PaperCut MF/NG | 9.8 | Sí |
| CVE-2023-34362 | Progress MOVEit Transfer | 9.8 | Sí |
| CVE-2023-47246 | SysAid Server | 9.8 | Sí |
| CVE-2023-27351 | PaperCut MF/NG | 7.5 | Sí |
| CVE-2023-0669 | Fortra GoAnywhere MFT | 7.2 | Sí |
Documentadas en los avisos y reportes de la sección Fuentes.
Villanos relacionados
Fuentes
