Medusaランサムウェアは2021年6月の初確認以来、500を超える組織に侵入していたことが、FBI、CISA、および保健福祉省(HHS)による共同勧告の更新版で明らかになりました。
今回の更新版は2025年3月に最初に発表された勧告を土台としており、2026年4月まで実施されたFBIの捜査結果を反映しています。
「Medusaの開発者と関連アフィリエイトは、さまざまな重要インフラ分野において500を超える被害者に影響を及ぼしてきました」と勧告は述べ、被害を受けた分野として医療、防衛、製造業、政府サービス、IT、金融サービスなどを挙げています。これら以外にも、教育機関、保険会社、法律事務所などが被害に遭っています。
「Medusaは当初、単一の脅威アクター集団がすべての開発と関連ランサムウェアキャンペーンを統括する、いわゆるクローズド型ランサムウェア運営として活動していました。しかし少なくとも2023年初頭以降は、RaaS(サービスとしてのランサムウェア)をアフィリエイトに販売するアフィリエイトモデルへと移行しました。アフィリエイトには、経験と収益性に応じて異なるレベルの信頼が与えられています」と両組織は説明しています。
同集団はサイバー犯罪フォーラム上の初期アクセスブローカーからアクセス権を購入しており、その価格は100ドルから100万ドルに及びます。これらのブローカーの大半はMedusa専属ではありません。「しかしながら、多くの初期アクセスブローカーは複数のランサムウェア亜種向けに同時に働く意向を持っているようです」と勧告には記されています。
Medusaは一般的な手法に依存しており、認証情報を盗むためのフィッシングや、パッチ未適用のソフトウェアを利用してアクセス権を獲得しています。勧告では、最近標的となった脆弱性としてScreenConnect、Fortinet EMS、Fortra GoAnywhere、BeyondTrustの脆弱性を挙げており、脆弱性が公表されるとアフィリエイトが迅速に行動を起こすと指摘しています。
「Medusaのアクターは、新たに公表されたエクスプロイトを24時間以内に活用します」と勧告は述べており、同集団が自ら独自のゼロデイ脆弱性を開発している兆候はないとも付け加えています。
ネットワークに侵入した後、同集団は独自マルウェアではなく、ネットワーク上に既に存在するツールを活用します。具体的には、PowerShell、認証情報窃取用のMimikatz、そしてAnyDeskやSimpleHelpといったリモートアクセスソフトウェアなどです。暗号化処理自体はgaze.exeという名前のプロセスが担っており、バックアップサービスやセキュリティサービスを停止させた上で、ファイルを拡張子「.medusa」でロックします。
Medusaは二重恐喝モデルを採用しています。両機関によると、被害者は身代金要求メモに対して48時間以内に応答するよう求められ、応じない場合はMedusaが直接連絡を取り始めます。さらに、盗んだデータはカウントダウンタイマー付きのリークサイトに公開されます。暗号資産で1万ドルを支払うことで、猶予をさらに1日延ばすことができます。
両機関は、インターネットに公開されているシステムへのパッチ適用、横方向の移動を制限するためのネットワークセグメント化、信頼できないトラフィックがリモートアクセスサービスに到達するのを遮断することを推奨しています。また、引き続き身代金の支払いを思いとどまるよう呼びかけており、被害者に対してはFBIのインターネット犯罪苦情センターまたはCISAへのインシデント報告を促しています。
翻訳元: https://www.helpnetsecurity.com/2026/08/19/medusa-ransomware-cisa-warning/
