ランサムウェア・アズ・ア・サービス(RaaS)グループのMedusaは、侵入手段として新たな手口を採用し、1年余りで被害者数を数百件増やしたことが、米政府が火曜日に公表した最新の勧告で明らかになりました。
このギャングはアクセスブローカーに依存しており、その報酬は100ドルから100万ドルに及び、Medusaと専属契約を結ぶブローカーほど高い報酬を得ています。しかし、大半のブローカーは「複数の亜種向けに同時並行で」活動していると、サイバーセキュリティ・インフラセキュリティ庁(CISA)、FBI、保健福祉省(HHS)による今回の勧告の更新部分の一つに記されています。
火曜日に更新された今回の勧告は、2025年3月の勧告を拡充する内容で、FBIの継続的な捜査結果を反映しています。Medusaが悪用したソフトウェア脆弱性の種類についても記載されており、その中にはFortraのGoAnywherenやBeyondTrustの欠陥が含まれます。
勧告によると、「Medusaの攻撃者は、特定の組織や業界に狙いを絞るのではなく、パッチが適用されていないソフトウェアを持つ被害者を日和見的に標的にしている。しかし、医療・公衆衛生(HPH)セクターはMedusaの活動の標的となる頻度が高い」としています。「Medusaの攻撃者は新たに公表された悪用手法を24時間以内に活用しており、脆弱性が公式に公表される最大1週間前から悪用手法を使用していたことも確認されている」
勧告はさらにこう続けています。「ただし、Medusaの攻撃者が自らゼロデイやNデイの脆弱性を開発しているという兆候はない。むしろ、出所不明の相手から高度な悪用手法へのアクセスを入手するか、被害者候補がパッチ適用によって脆弱性を緩和できるようになる前に、新たに公表された悪用手法を迅速に活用することを好んでいる」
この手法は成果を上げているようです。2025年3月から今年4月までの間に、勧告に記載された被害者数は300件超から500件超へと増加しました。同グループが初めて確認されたのは2021年のことです。
勧告の更新部分では次のようにも詳述されています。「Medusaの攻撃者は検知を回避するため、正規のツールや環境寄生型(living off the land)の手法をしばしば用いる。また、横展開のためにリモート監視・管理ソフトウェアや、リモートデスクトッププロトコル(RDP)を含むリモートアクセスサービスを活用することもある」「ネットワーク内部に侵入した後は、資格情報へのアクセス、データの窃取、ランサムウェアの展開を支援するために、一般的なユーティリティやツールを使用する」
今年初め、Microsoftは詳細な報告の中で、同社がStorm-1175と名付けたグループがMedusaランサムウェアを用いてスピード重視の攻撃を展開している実態を明らかにしました。SymantecとCarbon Blackも今年初め、北朝鮮のハッカーが医療セクターを狙う際にMedusaを利用していた詳細を報告しています。
翻訳元: https://cyberscoop.com/medusa-ransomware-tactics-cisa-advisory/
