Medusaランサムウェア、二重恐喝で300超の重要インフラ組織を攻撃

FBI、CISA、および米保健福祉省（HHS）が共同で発表した勧告によると、Medusaランサムウェアの運営者はこれまでに重要インフラ分野の500を超える組織に侵入したとされています。この勧告は#StopRansomwareイニシアチブの一環として発表されました。

2026年8月18日に公開された更新版では、2026年4月まで実施されたFBIの調査に基づく最新の情報が盛り込まれています。

この一連のランサムウェア攻撃は、医療、教育、法律、保険、テクノロジー、製造業など幅広い業種の組織に影響を及ぼしています。とりわけ医療・公衆衛生分野は依然として頻繁な標的となっています。

Medusaランサムウェアとは

Medusaは2021年6月に初めて確認され、MedusaLockerやMedusaモバイルマルウェアとは別物のランサムウェア・アズ・ア・サービス（RaaS）として分類されています。

アンチマルウェアソフトウェア

2023年初頭までに、この組織は閉鎖的なランサムウェアグループからアフィリエイト型のモデルへと移行し、開発者がさまざまなアクセス権限と裁量を持つ外部のオペレーターを募集できるようにしました。

Medusaはデータの暗号化とデータ窃取による恐喝を組み合わせています。アフィリエイトはシステムを暗号化する前に被害者のデータを窃取し、身代金が支払われなければTorベースのリークサイトで公開すると脅迫します。

被害者は通常、48時間以内にTorチャットポータルまたはToxメッセージングプラットフォームを通じてグループに連絡するよう指示されます。

運営者はメールや電話で被害者に直接連絡して圧力を強めることもあり、リークサイトには身代金の金額、暗号資産ウォレットへのリンク、主張するページビュー数、カウントダウンタイマーなどを掲載します。

また同グループは、暗号資産で1万ドル支払うことで、データ公開までのカウントダウンを1日延長できる選択肢も被害者に提示しています。

FBIの調査では、ある被害者が身代金を支払った後、別のMedusaのアクターから「本物の復号ツール」だとして追加の支払いを要求されたケースが少なくとも1件確認されています。これはトリプルエクストーション（三重恐喝）の手口である可能性、あるいはアフィリエイトと中核運営者間の連携不足を示唆しています。

初期侵入と脆弱性の悪用

Medusaのアクターはサイバー犯罪フォーラムで初期アクセスブローカーを募集しており、被害組織のネットワークへのアクセスに対して100ドルから100万ドルの報酬を提示しているとされています。彼らはフィッシングと、パッチが適用されていないインターネット公開アプリケーションの悪用に大きく依存しています。

これまでに悪用が確認された脆弱性は以下の通りです。

• ConnectWise ScreenConnectのCVE-2024-1709。
• Fortinet EMSのSQLインジェクションの欠陥であるCVE-2023-48788。
• Fortra GoAnywhere MFTのCVE-2025-10035。
• BeyondTrust Remote SupportおよびPrivileged Remote Accessに影響するリモートコード実行の脆弱性であるCVE-2026-1731。

この勧告では、Medusaの運営者が新たに公表されたエクスプロイトを24時間以内に悪用する場合があり、中には公開の1週間前からエクスプロイトを使用していたケースもあると警告しています。

彼らはoast[.]site、oast[.]pro、oast[.]funを含むInteractshドメインを使用して、エクスプロイトの試行が脆弱なシステムに正常に到達したかどうかを確認しています。

アクセス権を取得した後、アフィリエイトは検出を回避するために正規のツールとLiving-off-the-Land（環境寄生型）の手法を使用します。彼らが行う探索活動には、PowerShell、cmd.exe、WMI、Advanced IP Scanner、SoftPerfect Network Scanner、CrackMapExec/NetExecなどが含まれます。

攻撃者は、AnyDesk、Atera、ConnectWise、BeyondTrust、N-able、SimpleHelp、Splashtop、eHorusなど、被害組織の環境に既に存在するRMM（リモート監視・管理）プラットフォームを利用しています。これらのツールをRDPやPsExecと組み合わせ、横展開に使用しています。

認証情報窃取の手法としては、Mimikatz、タスクマネージャー、comsvcs.dllを介したLSASSダンプ、平文の認証情報をログに記録するmimilib.dllの使用、そしてntds.ditやレジストリハイブを窃取するためのボリュームシャドウコピーの悪用などが挙げられます。こうした活動により、ドメイン全体の侵害やKerberosチケットの偽造が可能になります。

データの持ち出しには、ファイルのアーカイブにBandizip、データ転送にRcloneをMedusaは使用しています。ランサムウェアのペイロードは、Windowsでは一般にgaze.exe、Linuxではgaze.pyという名称で、AES-256でファイルを暗号化し、拡張子として.medusaを付加します。

主な侵害指標（IOC）

注：IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐために意図的にディフェンジング（無効化表記、例: [.]）処理を施しています。再度有効な表記に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

新たなフィッシングやマルウェアが自社に被害を及ぼす前に阻止しましょう。 世界15,000のSOCからのライブインテリジェンスを統合

アンチマルウェアソフトウェア