Los desarrolladores del ransomware Medusa han estado atacando una amplia gama de sectores de infraestructura crítica, incluyendo la atención médica, la tecnología, la fabricación y los seguros. El número de víctimas ha aumentado a medida que crece el número de afiliados al grupo.
Alerta conjunta de CISA, FBI y MS-ISAC
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), junto con el FBI y el Centro de Análisis de Intercambio de Información Multiestatal (MS-ISAC), publicaron una alerta conjunta advirtiendo sobre los ataques del ransomware Medusa. El documento incluye un aviso #StopRansomware que busca informar al público sobre la amenaza.
Origen y evolución de Medusa
Medusa es una variante de ransomware como servicio (RaaS) que fue observada por primera vez en 2021. Desde entonces, sus desarrolladores han afectado a más de 300 víctimas, muchas pertenecientes a sectores críticos como la salud, el derecho, la educación, los seguros, la tecnología y la manufactura.
El ransomware comenzó como una variante cerrada, controlando su desarrollo y operaciones. Posteriormente evolucionó hacia un modelo de afiliados, aunque ciertas operaciones, como la negociación de rescates, aún están bajo el control de los desarrolladores.
Metodología de ataque
Los desarrolladores exigen rescates que oscilan entre 100.000 y 15 millones de dólares. Realizan ataques de doble extorsión, robando datos antes de cifrar las redes de las víctimas para presionarlas a pagar el rescate.
El equipo de Symantec publicó una entrada de blog advirtiendo sobre un repunte en los ataques de Medusa durante el último año. Los desarrolladores han utilizado Intermediarios de Acceso Inicial (IAB) en foros y mercados de cibercriminales para obtener acceso a las redes de sus víctimas.
A los IAB se les ofrecen entre 100 y 1 millón de dólares para trabajar exclusivamente para Medusa, utilizando campañas de phishing y explotando vulnerabilidades para acceder a las redes e infectar sistemas. Los afiliados también utilizan técnicas de «Living off the Land» (LotL) y herramientas legítimas para el reconocimiento, la evasión de la detección, la exfiltración de datos y el movimiento lateral en entornos comprometidos.
Herramientas y técnicas empleadas
Los afiliados utilizan diversas herramientas de acceso remoto, como Fortinet EMS SQL injection flaw (CVE-2023-48788), ScreenConnect authentication bypass (CVE-2024-1709), AnyDesk, Atera y ConnectWise. También emplean técnicas avanzadas para evadir la detección, como scripts ofuscados de PowerShell, la desactivación de sistemas de detección de endpoints y el uso de herramientas de tunelización inversa como Ligolo y Cloudflared.
Presión sobre las víctimas
Las víctimas son presionadas para pagar en un plazo de 48 horas a través de un chat en vivo basado en Tor o plataformas de mensajería cifrada. Si se ignoran, los actores filtran los datos robados en su sitio web de la darknet y los ofrecen a la venta antes de que finalice la cuenta regresiva.
Los informes sugieren que, incluso después del pago del rescate, las víctimas podrían enfrentarse a demandas adicionales de extorsión por parte de diferentes actores de Medusa.
Recomendaciones de mitigación
Los defensores tienen mucho trabajo para afrontar la presencia de Medusa. Las recomendaciones de mitigación incluyen la implementación de parches de software, la segmentación de la red y el bloqueo del acceso a servicios desde fuentes desconocidas o no confiables.
Además, las organizaciones deben adoptar una mentalidad de «brecha asumida», ya que las empresas que operan bajo la premisa de que sus sistemas han sido o serán comprometidos cambian el enfoque de la prevención a la detección, respuesta y recuperación rápida.