Medusa ransomware atakuje infrastrukturę krytyczną. Ponad 300 ofiar i rosnąca presja na zespoły bezpieczeństwa

Wprowadzenie do problemu / definicja

Medusa to rodzina ransomware działająca w modelu ransomware-as-a-service, która od kilku lat stanowi istotne zagrożenie dla organizacji publicznych i prywatnych. Szczególne obawy budzi jej aktywność wobec podmiotów zaliczanych do infrastruktury krytycznej, ponieważ skutki udanego ataku mogą wykraczać daleko poza sferę IT i wpływać na ciągłość świadczenia usług, bezpieczeństwo obywateli oraz stabilność operacyjną instytucji.

W marcu 2025 roku amerykańskie agencje bezpieczeństwa publicznie ostrzegły przed kampaniami Medusa, wskazując, że zagrożenie jest aktywne, skalowalne i dotyka wielu sektorów jednocześnie. To ważny sygnał dla organizacji, które nadal traktują ransomware głównie jako problem finansowy, a nie operacyjny.

W skrócie

Medusa została wskazana przez amerykańskie instytucje jako aktywne zagrożenie dla infrastruktury krytycznej.
Kampanie tej grupy objęły ponad 300 ofiar w różnych sektorach.
Operatorzy stosują model podwójnego wymuszenia: szyfrowanie danych i ich wcześniejszą kradzież.
W atakach wykorzystywane są phishing, przejęte poświadczenia oraz legalne narzędzia administracyjne.
Powiązani operatorzy potrafią szybko wykorzystywać nowo ujawnione podatności w systemach wystawionych do internetu.

Kontekst / historia

Medusa pozostaje aktywna co najmniej od 2021 roku i nie należy jej mylić z rodziną MedusaLocker, mimo podobnego nazewnictwa. Z biegiem czasu grupa wypracowała model działania typowy dla dojrzałego ekosystemu cyberprzestępczego, w którym operatorzy utrzymują markę, infrastrukturę wycieku danych i zaplecze negocjacyjne, a część włamań realizują afilianci.

Wspólne ostrzeżenie opublikowane 12 marca 2025 roku przez FBI, CISA i MS-ISAC podsumowywało ustalenia organów ścigania oraz partnerów rządowych na podstawie dochodzeń prowadzonych do lutego 2025 roku. Równolegle obserwacje branżowe wskazywały, że na początku 2025 roku aktywność Medusa utrzymywała się na wysokim poziomie, a liczba publicznie ujawnianych ofiar nadal rosła.

Analiza techniczna

Profil techniczny ataków Medusa pokazuje połączenie dobrze znanych technik z wysoką skutecznością operacyjną. Wektorem początkowego dostępu bywa phishing ukierunkowany na kradzież poświadczeń, ale obserwowano również wykorzystanie niezałatanych usług zdalnych oraz podatnych aplikacji dostępnych z internetu. Po uzyskaniu dostępu napastnicy rozszerzają obecność w środowisku, eskalują uprawnienia, poruszają się lateralnie i przygotowują zarówno eksfiltrację danych, jak i etap szyfrowania.

W analizowanych incydentach wskazywano wykorzystanie narzędzi takich jak PowerShell, PsExec, certutil, Mimikatz, RDP oraz Rclone. To istotny sygnał dla zespołów SOC i administratorów, ponieważ znacząca część aktywności może przypominać legalne działania administracyjne. Tego typu podejście, określane jako living-off-the-land, utrudnia wykrywanie incydentów wyłącznie na podstawie klasycznych sygnatur malware.

Napastnicy często koncentrują się na przejęciu kont uprzywilejowanych, osłabieniu mechanizmów ochronnych oraz identyfikacji zasobów o najwyższej wartości operacyjnej. W praktyce oznacza to zainteresowanie serwerami plików, systemami kopii zapasowych, kontrolerami domeny oraz innymi kluczowymi elementami infrastruktury.

Centralnym elementem modelu Medusa pozostaje podwójne wymuszenie. Przed zaszyfrowaniem środowiska dane są wykradane, a następnie ofiara otrzymuje groźbę ich publikacji na stronie wyciekowej. Taka taktyka zwiększa skuteczność szantażu, ponieważ nawet dobrze przygotowane kopie zapasowe nie rozwiązują problemu utraty poufności informacji.

Dodatkowe ustalenia opisywane w analizach Microsoftu wskazują, że aktywność powiązana z Medusa była łączona z operatorem oznaczanym jako Storm-1175. Z perspektywy obrońców szczególnie niepokojące jest tempo tych działań: od uzyskania dostępu do eksfiltracji danych i wdrożenia ransomware może upłynąć zaledwie kilkadziesiąt godzin. To oznacza bardzo wąskie okno na wykrycie i zatrzymanie ataku.

Konsekwencje / ryzyko

Ryzyko związane z Medusa należy ocenić jako wysokie. Po pierwsze, celem stają się organizacje działające w obszarach krytycznych, gdzie incydent może doprowadzić nie tylko do utraty danych, lecz także do zakłócenia usług publicznych, medycznych, edukacyjnych czy administracyjnych. Po drugie, podwójne wymuszenie łączy w sobie presję operacyjną, finansową, prawną i reputacyjną.

Nawet jeśli organizacja jest w stanie szybko odtworzyć środowisko z backupu, wyciek danych może uruchomić kolejne konsekwencje, w tym obowiązki regulacyjne, spory kontraktowe oraz długotrwały kryzys wizerunkowy. Z punktu widzenia zarządzania ryzykiem ransomware przestaje być więc wyłącznie problemem dostępności, a staje się również problemem poufności i zgodności.

Dodatkowym wyzwaniem jest szybkie wykorzystywanie nowych podatności. Organizacje utrzymujące publicznie dostępne aplikacje bez dojrzałych procesów patch managementu, segmentacji i monitorowania mogą zostać skompromitowane, zanim standardowy cykl zmian zostanie zakończony. W praktyce wielotygodniowe okna aktualizacyjne są dziś niewystarczające dla systemów wystawionych do internetu.

Rekomendacje

Rosnące tempo działań Medusa wymaga podejścia opartego na obronie warstwowej i skracaniu czasu reakcji. Priorytetem powinno być szybkie łatanie systemów dostępnych z internetu, zwłaszcza aplikacji webowych, bram zdalnego dostępu, rozwiązań do transferu plików oraz paneli administracyjnych. Równie ważne jest ograniczanie ekspozycji usług, które nie muszą być publicznie osiągalne.

Wdrożyć uwierzytelnianie wieloskładnikowe dla dostępu zdalnego, kont uprzywilejowanych i interfejsów administracyjnych.
Segmentować sieć i ograniczać możliwość ruchu lateralnego między strefami o różnym poziomie zaufania.
Monitorować użycie PowerShell, PsExec, Rclone, certutil oraz nietypowe próby dostępu przez RDP.
Chronić i regularnie testować kopie zapasowe offline lub logicznie odseparowane od środowiska produkcyjnego.
Utrzymywać plan reagowania na incydenty obejmujący scenariusz ransomware z eksfiltracją danych.
Regularnie rotować poświadczenia uprzywilejowane i weryfikować aktywność kont o wysokich uprawnieniach.
W środowiskach infrastruktury krytycznej analizować zależności między IT i OT, aby ograniczyć ryzyko przeniesienia incydentu.

Podsumowanie

Medusa pozostaje jednym z istotnych zagrożeń ransomware dla organizacji o wysokiej wartości operacyjnej, szczególnie w sektorach krytycznych. Skala potwierdzonych ofiar, model podwójnego wymuszenia oraz zdolność do szybkiego wykorzystania podatności pokazują, że mamy do czynienia z dojrzałym i konsekwentnie rozwijanym modelem przestępczym.

Dla zespołów bezpieczeństwa kluczowe wnioski są jasne: ograniczać ekspozycję systemów publicznych, przyspieszać usuwanie podatności i zakładać, że intruz po uzyskaniu dostępu będzie działał szybko, wieloetapowo i z użyciem legalnych narzędzi administracyjnych. W realiach współczesnych kampanii ransomware czas reakcji staje się jednym z najważniejszych elementów obrony.