La Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), el Buró Federal de Investigaciones (FBI) y el Centro Multiestatal de Intercambio y Análisis de Información (MS-ISAC) han emitido un aviso conjunto, advirtiendo que la operación del ransomware Medusa ha afectado a más de 300 víctimas en sectores de infraestructuras críticas.
Los sectores afectados incluyen la salud, la educación, el derecho, los seguros, la tecnología y la manufactura.
Medusa, una variante de ransomware como servicio (RaaS), identificada por primera vez en junio de 2021, emplea un modelo de doble extorsión: cifra los datos de las víctimas y amenaza con publicar los datos extraídos si no se paga el rescate. A pesar de su nombre, el ransomware Medusa no está relacionado con MedusaLocker ni con la variante de malware móvil Medusa.
La investigación del FBI descubrió que los atacantes de Medusa obtienen acceso inicial mediante campañas de phishing y explotando vulnerabilidades de software sin parchear, como la omisión de autenticación de ScreenConnect (CVE-2024-1709) y la falla de inyección SQL de Fortinet EMS (CVE-2023-48788).
Una vez dentro de la red, utilizan herramientas administrativas legítimas, como PowerShell y Windows Management Instrumentation (WMI), para evadir la detección, moverse lateralmente e implementar cargas útiles de cifrado.
Las filiales de Medusa utilizan diversas herramientas de acceso remoto como AnyDesk, Atera y ConnectWise para infiltrarse en las redes.
También emplean técnicas avanzadas para evadir la detección, como scripts ofuscados de PowerShell, la desactivación de los sistemas de detección de endpoints y el uso de herramientas de tunelización inversa como Ligolo y Cloudflared.
Un aspecto particularmente alarmante de las operaciones de Medusa, advirtió CISA, son sus tácticas de extorsión.
Las víctimas son presionadas para pagar en un plazo de 48 horas a través de un chat en vivo basado en Tor o plataformas de mensajería cifrada. Si se les ignora, los actores de Medusa filtran los datos robados en su sitio web de la red oscura, ofreciéndolos a la venta antes de que finalice la cuenta regresiva.
Los informes sugieren que, incluso después de pagar un rescate, las víctimas pueden enfrentar demandas de extorsión adicionales por parte de diferentes actores de Medusa.
El aviso recomienda encarecidamente que las organizaciones implementen medidas de mitigación para evitar ser víctimas de un ataque, incluyendo:
Mantener el software actualizado y aplicar parches de seguridad
Implementar controles de acceso robustos y autenticación multifactor (MFA)
Monitorear la actividad inusual y restringir el uso de protocolos de escritorio remoto (RDP)
Implementar la segmentación de la red para contener posibles brechas