Medusa
Medusa è una sofisticata minaccia informatica nota per la sua capacità di crittografare rapidamente i dati e per le sue tecniche di diffusione uniche; prende di mira principalmente organizzazioni operanti in vari settori con l'obiettivo di estorcere il pagamento di un riscatto.
L'origine del Medusa
Medusa MedusaBlog, è un sofisticato gruppo di ransomware che attacca attivamente le organizzazioni almeno dall'inizio del 2023. Il gruppo si è fatto notare per la sua capacità di crittografare rapidamente i dati e per le tecniche originali utilizzate per diffondere malware proprio malware sembra essere collegato a MedusaLocker. Il nome "Medusa" riflette la tendenza del gruppo a "trasformare metaforicamente i file in pietra", rendendoli inutilizzabili fino al pagamento del riscatto.
Paesi colpiti dal Medusa
La maggior parte degli attacchi Medusa si è concentrata negli Stati Uniti, ma sono stati segnalati episodi significativi anche in paesi come il Regno Unito, il Canada e l'Australia. Questa distribuzione indica una predilezione per i paesi sviluppati dotati di infrastrutture digitali estese.
Fonte: Unit42
Settori colpiti dal Medusa
Medusa ha colpito un ampio ventaglio di settori. Tra gli obiettivi di maggiore rilevanza figurano la sanità, l'industria manifatturiera, l'istruzione e i servizi professionali, il che riflette la strategia del gruppo di attaccare settori che gestiscono informazioni critiche e sensibili.
Fonte: Unit42
Le vittime Medusa
Dal 2023,Medusa preso di mira più di 235 vittime.
Fonte: ransomware.live
Il metodo di attacco Medusa
Medusa ottiene Medusa l'accesso sfruttando le vulnerabilità dei protocolli di desktop remoto (RDP) e ricorrendo a phishing . Inoltre, utilizza credenziali compromesse acquisite con vari mezzi.
Una volta penetrata in una rete, Medusa strumenti come PsExec per elevare i propri privilegi e consolidare la propria presenza all'interno del sistema.
Il gruppo disattiva gli strumenti di sicurezza tramite script PowerShell e modifica le impostazioni del Registro di sistema per eludere il rilevamento. Inoltre, ricorre a tecniche di crittografia delle stringhe per nascondere il codice dannoso.
Medusa le credenziali utilizzando vari strumenti da riga di comando e script, il che le consente di muoversi lateralmente all'interno della rete.
Effettuano un'approfondita ricognizione della rete utilizzando strumenti come Netscan per individuare obiettivi di valore e raccogliere informazioni sulla topologia della rete.
Medusa strumenti e protocolli legittimi, come RDP e SMB, per muoversi lateralmente all'interno della rete, sfruttando le credenziali rubate.
Il ransomware raccoglie dati sensibili dai sistemi infetti, preparandoli per l'esfiltrazione.
Il ransomware crittografa i file utilizzando l'algoritmo AES-256 e aggiunge l'estensione ".medusa" ai file compromessi.
I dati vengono sottratti e trasferiti su server remoti controllati dagli autori dell'attacco. Questi dati vengono poi utilizzati per costringere le vittime a pagare il riscatto.
La fase finale prevede l'invio di una nota di riscatto, solitamente denominata "!!read_me_medusa!!.txt", che spiega alle vittime come pagare il riscatto per decriptare i propri file. Il gruppo utilizza una combinazione di crittografia RSA e AES per proteggere le transazioni relative al riscatto.
Medusa ottiene Medusa l'accesso sfruttando le vulnerabilità dei protocolli di desktop remoto (RDP) e ricorrendo a phishing . Inoltre, utilizza credenziali compromesse acquisite con vari mezzi.
Una volta penetrata in una rete, Medusa strumenti come PsExec per elevare i propri privilegi e consolidare la propria presenza all'interno del sistema.
Il gruppo disattiva gli strumenti di sicurezza tramite script PowerShell e modifica le impostazioni del Registro di sistema per eludere il rilevamento. Inoltre, ricorre a tecniche di crittografia delle stringhe per nascondere il codice dannoso.
Medusa le credenziali utilizzando vari strumenti da riga di comando e script, il che le consente di muoversi lateralmente all'interno della rete.
Effettuano un'approfondita ricognizione della rete utilizzando strumenti come Netscan per individuare obiettivi di valore e raccogliere informazioni sulla topologia della rete.
Medusa strumenti e protocolli legittimi, come RDP e SMB, per muoversi lateralmente all'interno della rete, sfruttando le credenziali rubate.
Il ransomware raccoglie dati sensibili dai sistemi infetti, preparandoli per l'esfiltrazione.
Il ransomware crittografa i file utilizzando l'algoritmo AES-256 e aggiunge l'estensione ".medusa" ai file compromessi.
I dati vengono sottratti e trasferiti su server remoti controllati dagli autori dell'attacco. Questi dati vengono poi utilizzati per costringere le vittime a pagare il riscatto.
La fase finale prevede l'invio di una nota di riscatto, solitamente denominata "!!read_me_medusa!!.txt", che spiega alle vittime come pagare il riscatto per decriptare i propri file. Il gruppo utilizza una combinazione di crittografia RSA e AES per proteggere le transazioni relative al riscatto.
TTP utilizzati dal Medusa
Come individuare Medusa con Vectra AI
Domande frequenti
Qual è la principale tecnica di accesso iniziale utilizzata Medusa?
Medusa sfrutta Medusa le vulnerabilità dei protocolli di desktop remoto (RDP) e ricorre a phishing per ottenere l'accesso iniziale.
In che modo Medusa riesce a eludere i sistemi di rilevamento?
Utilizzano script PowerShell e modificano le impostazioni del Registro di sistema per disattivare gli strumenti di sicurezza ed eludere il rilevamento.
Quali sono i settori più colpiti dal Medusa ?
Il settore sanitario, quello manifatturiero, l'istruzione e i servizi professionali sono tra i settori più colpiti.
Quali metodi di crittografia utilizza Medusa ?
Medusa una combinazione di crittografia RSA e AES-256 per proteggere le proprie transazioni relative al ransomware e crittografare i file delle vittime.
In che modo Medusa sottrae i dati?
I dati vengono trasferiti verso server remoti controllati dagli aggressori, solitamente tramite canali sicuri per evitare di essere scoperti.
Qual è il nome tipico della richiesta di riscatto utilizzata da Medusa?
Il file con la richiesta di riscatto si chiama solitamente "!!read_me_medusa!!.txt".
Quali strumenti utilizza Medusa per l'individuazione delle reti?
Medusa strumenti come Netscan per effettuare ricognizioni di rete e individuare obiettivi di valore.
In che modo Medusa riesce a muoversi lateralmente?
Utilizzano strumenti e protocolli legittimi come RDP e SMB, sfruttando le credenziali rubate per muoversi lateralmente.
In che modo le organizzazioni possono proteggersi dal Medusa ?
L'adozione di misure di sicurezza rigorose, quali l'applicazione regolare delle patch, l'uso dell'autenticazione a più fattori e il monitoraggio del traffico di rete alla ricerca di attività insolite, può aiutare a proteggersi da Medusa.
Quale ruolo possono svolgere le soluzioni XDR nella difesa contro Medusa ?
Le soluzioni XDR offrono una visibilità completa e funzionalità di risposta automatizzata, individuando e mitigando le attività sospette su endpoint, reti e cloud .