Cl0p a percé Cleo avec deux zero-days, et le premier correctif n’a servi à rien

Octobre 2024. Cleo publie un correctif pour une faille d’upload arbitraire dans ses trois produits de transfert de fichiers : Harmony, VLTrader et LexiCom.

Décembre 2024. Les chercheurs de Huntress constatent que des serveurs patchés continuent de se faire compromettre. Cl0p — le groupe derrière MOVEit et GoAnywhere — a exploité non pas un mais deux zero-days dans la même plateforme. Le premier patch n’a quasiment rien bloqué.

Février 2025. Cl0p publie sur son site de fuite une liste de 182 organisations compromises via Cleo. Hertz, WK Kellogg, Western Alliance Bank, Chicago Public Schools, Blue Yonder, Sam’s Club : la liste des noms confirmés donne le vertige.

Ce n’est pas un accident. C’est la quatrième cible MFT de Cl0p en quatre ans : Accellion (2020-2021), GoAnywhere (2023), MOVEit (2023), et maintenant Cleo. À chaque campagne, le même scénario chirurgical : une plateforme de transfert largement déployée, exposée sur Internet, et un zero-day qui ouvre la porte à une exfiltration silencieuse.

CVE-2024-50623 : la faille d’octobre que tout le monde croyait corrigée

Cleo divulgue CVE-2024-50623 fin octobre 2024. Description officielle : vulnérabilité de lecture et d’écriture de fichiers non authentifiée. Les trois produits sont concernés : Harmony (la plateforme enterprise), VLTrader (le mid-market), LexiCom (le client desktop). Score CVSS 9.8 — critique. L’éditeur livre la version 5.8.0.21 et passe à autre chose.

Cl0p, lui, n’est pas passé à autre chose.

Le 3 décembre 2024, Huntress détecte une exploitation active — y compris sur des instances ayant appliqué le correctif d’octobre. Le vecteur est d’une simplicité dévastatrice : les attaquants déposent des fichiers XML malveillants dans le répertoire Autorun de Cleo. Ce dossier, conçu pour traiter automatiquement le contenu uploadé, exécute les fichiers avec les privilèges du service Cleo. Résultat : exécution de code à distance sans authentification sur des serveurs exposés à Internet.

La chaîne se répète à l’identique sur chaque victime :

1. Un XML déposé dans Autorun
2. Une commande PowerShell embarquée qui télécharge une archive Java (JAR) depuis l’infrastructure de l’attaquant
3. Un chargeur Java qui injecte la charge utile finale en mémoire

Au moment de la divulgation, Censys recensait 1 342 instances Cleo exposées à Internet. 79 % étaient aux États-Unis.

CVE-2024-55956 : le patch qui n’en était pas un

C’est ici que l’affaire Cleo se distingue du scénario MOVEit. Le correctif d’octobre n’a pas tenu.

Huntress signale que des serveurs tournant sous la version prétendument corrigée 5.8.0.21 continuent d’être compromis. Le 13 décembre 2024, un second CVE est assigné — CVE-2024-55956 — et un nouveau patch est publié en version 5.8.0.24.

La position officielle de Cleo : les deux vulnérabilités ont des causes racines distinctes. CVE-2024-50623 est une faille de lecture et écriture ; CVE-2024-55956 est une faille d’écriture seule qui atteint l’exécution de commandes via le même répertoire Autorun. Cleo insiste : ce n’est pas un bypass.

Huntress et plusieurs équipes de recherche ne sont pas d’accord. Du point de vue d’un défenseur, des serveurs crus protégés sont restés exploitables, et un deuxième correctif d’urgence a été nécessaire. La sémantique importe peu : les organisations qui ont appliqué le patch d’octobre et coché la case « conformité » se sont retrouvées compromises en novembre et décembre.

La CISA a ajouté les deux CVE au catalogue KEV (Known Exploited Vulnerabilities).

Cleopatra : l’implant taillé pour Cleo

Arctic Wolf Labs a documenté l’activité post-exploitation et nommé l’implant Cleopatra. La chaîne, identique sur tous les serveurs compromis, se déroule en trois étapes :

1. Accès initial via Autorun — dépôt d’un XML malveillant
2. Stager PowerShell embarqué dans le XML — téléchargement d’un chargeur Java
3. Backdoor Java (Cleopatra) chargée en mémoire — persistance, exécution de commandes, exfiltration

Cleopatra n’est pas un implant générique. Elle a été conçue spécifiquement pour les serveurs Cleo : elle utilise le runtime Java natif de Cleo pour se fondre dans les processus légitimes, et son obfuscation complique la détection statique sans signatures dédiées. Comme LEMURLOOT avant elle (l’implant de MOVEit), Cleopatra privilégie le vol de données au chiffrement.

Classes de vulnérabilités différentes, implants différents. Le résultat, lui, ne change pas : un accès persistant à une plateforme qui manipule des données critiques, puis une exfiltration que personne ne voit passer.

Qui est derrière ? Cl0p, Termite, FIN11

L’attribution a mis quelques semaines à se stabiliser. Les premiers signalements évoquaient un groupe plus récent nommé Termite, lié à un incident supply chain chez Blue Yonder. Termite opérait une infrastructure Cleo exposée et semblait disposer d’une capacité d’exploitation contre la plateforme — suffisamment pour brouiller les pistes.

Mi-décembre, Cl0p a formellement revendiqué la campagne. Mandiant et Google Threat Intelligence Group associent depuis longtemps les opérations signées Cl0p au cluster FIN11, un groupe motivé financièrement. Les deux entités ne sont pas strictement identiques — plusieurs acteurs ont utilisé la marque Cl0p au fil des ans — mais pour un défenseur, le débat sur l’attribution est secondaire.

Ce qui compte, c’est la constance du playbook : zero-day → exfiltration silencieuse → extorsion massive par email aux dirigeants. Qu’il s’agisse de Cl0p, de FIN11 ou de Termite, le mode opératoire ne varie pas.

182 victimes, trois vagues

Cl0p a publié ses victimes par salves, pour maximiser la pression :

• 24 décembre 2024 — 66 victimes annoncées avec un ultimatum de 48 heures
• 17-18 janvier 2025 — publication des données des organisations ayant refusé de négocier
• 14 février 2025 — 182 victimes liées à Cleo, liste complète

Les analystes de WhiteBlueOcean ont compté plus de 200 organisations ajoutées au site de fuite sur le seul mois de décembre 2024. La finance, la logistique, la distribution, l’éducation, la santé : aucun secteur n’a été épargné, aucune concentration évidente.

Parmi les victimes confirmées : Hertz (données personnelles de clients dérobées), WK Kellogg, Chicago Public Schools, Western Alliance Bank. Chez Sam’s Club, un ex-employé a déposé une class action de 5 millions de dollars — plainte retirée depuis, mais le mal était fait.

Pourquoi les MFT sont une cible parfaite

Cleo, c’est 4 200 clients dans le monde. Ses produits servent d’intermédiaire entre les entreprises et leurs partenaires : paie, factures fournisseurs, inventaires, documents réglementés. Compromettre un serveur Cleo, ce n’est pas compromettre un client. C’est compromettre chaque partenaire dont les données transitent par lui.

Le calcul est le même que pour MOVEit : une seule vulnérabilité, des milliers de cibles en aval. La campagne MOVEit avait touché 3 000 organisations et rapporté à Cl0p un butin estimé entre 75 et 100 millions de dollars. Pour le groupe, les MFT ne sont pas une cible d’opportunité. C’est un modèle économique.

Détecter une compromission

Les indicateurs publiés par Huntress et Arctic Wolf permettent de chercher les traces de Cleopatra. Si vous opérez un serveur Cleo, ces commandes sont votre point de départ :

# Traces d'exécution PowerShell dans les journaux Cleo
grep -RiE 'powershell|Invoke-Expression|IEX|System\.Net\.WebClient' /var/log/cleo/

# Fichiers XML suspects dans Autorun
find /opt/cleo/Autorun -name "*.xml" -mtime -90 -ls

# Connexions sortantes vers l'infrastructure C2
# La liste complète des IOC est dans le rapport Arctic Wolf

Tout serveur Cleo exposé avant décembre 2024 doit être considéré comme compromis, même s’il portait le patch d’octobre. Une recherche de compromission suivie d’une reconstruction propre est la seule position prudente. Pas de nettoyage incrémental : Cleopatra est conçue pour survivre à un simple effacement de fichiers.

Le verdict

Si vous utilisez encore un produit Cleo antérieur à la version 5.8.0.24, appliquez le correctif immédiatement — mais ne vous arrêtez pas là.

La leçon de cette campagne n’est pas technique. Elle est procédurale. Les organisations qui se sont contentées du patch d’octobre et ont coché la case « conformité » sont celles que Cl0p a trouvées grandes ouvertes six semaines plus tard. Le premier correctif d’un éditeur n’est pas une garantie. Il peut être insuffisant. Il peut être contourné. Il peut masquer une seconde vulnérabilité que l’éditeur lui-même n’a pas encore identifiée.

Pour les équipes qui opèrent des plateformes MFT, trois mesures minimales :

• Exposer le service derrière un VPN ou un proxy authentifié, jamais en accès direct Internet
• Activer la journalisation des commandes exécutées et des fichiers déposés dans Autorun
• Suivre les bulletins de sécurité de l’éditeur avec une alerte sous 24 heures — pas au prochain trimestre

La campagne Cleo est la quatrième du genre. Elle ne sera pas la dernière.

Références

• Cleo CVE-2024-50623 & CVE-2024-55956 Explained, CybelAngel REACT, 24 avril 2026.
• Cl0p Ransom Group Returns with new Zero-day, Truesec, décembre 2024.
• Threat Advisory: Cleo software actively being exploited in the wild, Huntress, 3 décembre 2024.
• Cleopatra’s Shadow: A Mass Exploitation Campaign, Arctic Wolf Labs, 2024.
• CL0P’s Cleo Campaign: A Postmortem, White Blue Ocean, 12 septembre 2025.
• Cl0p ransomware claims responsibility for Cleo data-theft attacks, BleepingComputer, décembre 2024.
• CVE-2024-50623, CVE Program.
• CVE-2024-55956, CVE Program.
• CISA Known Exploited Vulnerabilities Catalog, CISA.