500超の重要インフラ組織がMedusaランサムウェアの被害に

FBIが新たに発表した勧告によると、Medusaランサムウェアは2026年4月時点で500を超える重要インフラ組織に被害を及ぼしています。

このランサムウェア・アズ・ア・サービス(RaaS)を巡っては、2025年3月に公表された米政府の以前の勧告で、Medusaの関係者(アフィリエイト)が2025年2月時点で300を超える重要インフラ組織を攻撃していたと報告されていました。

8月18日に公表された今回の更新版勧告は、FBI、CISA、そして米保健福祉省(HHS)が共同で作成したもので、医療業界がMedusaの脅威アクターから特に頻繁に狙われていると指摘しています。

また同勧告では、2025年2月以降、この攻撃活動が初期侵入と侵入後の活動を大幅に強化するため、手法とツールの両面で拡張を続けていることも強調されています。

Medusaランサムウェアの亜種が最初に確認されたのは2021年6月です。当初は単独のランサムウェア攻撃として運用されていましたが、遅くとも2023年初頭にはアフィリエイト型のモデルへと移行しました。

脆弱性の悪用を加速させるMedusa

米政府機関は、Medusaが依然として未パッチの脆弱性を初期侵入の主要な手段として悪用し続けていると指摘しています。

最近では、脆弱性の公表からわずか24時間以内にエクスプロイトを悪用する事例が確認されており、多くの被害組織がパッチを適用する間もなく攻撃を受けています。

勧告によると、Medusaの攻撃者が脆弱性の公開情報が出る最大1週間前からエクスプロイトを利用していたケースもあるといいます。

このRaaSグループは特定の組織や業種を狙い撃ちするのではなく、未パッチのソフトウェアを持つ被害者を機会主義的に標的にする傾向があると説明されています。

Medusaの攻撃者が自らゼロデイやNデイの脆弱性を開発しているという兆候は見られていません。

Medusaの戦術におけるもう一つの変化として、侵害されたホストを特定し、エクスプロイトが成功したかどうかを検証するためにInteractshの動的URLを利用する手法が確認されています。

Swimlaneのリードセキュリティオートメーションアーキテクトを務めるニック・タウセック氏は、Medusaの迅速なエクスプロイト能力がセキュリティチームにとって大きな課題となっていると警鐘を鳴らしています。

同氏は「対応までの猶予が縮まることで、Medusaに先んじられる前に露出したシステムを特定・修復しなければならないという、防御側へのプレッシャーがはるかに大きくなっています。危険なまでの速さによって、多くのセキュリティチームが自組織の露出状況の評価すら終えないうちに、新たに公表された欠陥が実際の侵入へと変わってしまうこともあります」とコメントしています。

ステルス性と横展開能力の向上

Medusaの攻撃者は侵入後の活動能力も向上させており、ネットワーク内での存在の隠蔽、防御機構の回避、横展開、そしてネットワークからの機密データへのアクセスといった能力を強化しています。

FBIの勧告によると、このグループは複雑さを増しながら複数の異なるPowerShellステルス手法を展開しており、ペイロードの難読化を可能にしています。また、PowerShellのコマンドライン履歴を削除することで、痕跡を隠蔽しようともしています。

コマンド&コントロール(C2)とステルス性を支えるため、数多くの新しいツールが使用されています。これには一般に公開されているツールも含まれ、脅威アクターの端末から侵害ホストをバックドア経由で可視化するために使われる運用・保守用サーバー監視ツール「Nezha」や、異なるプライベートネットワーク上のワークステーション同士がファイアウォールを回避して接続できるようにする「GSocket」などが挙げられます。

Medusaはまた、さまざまな正規のリモート監視・管理(RMM)ソフトウェアも展開しており、検知を回避するため、被害組織の環境に既に存在しているものを選んで利用しています。

これらのツールは、ネットワーク内を横展開したり、窃取対象のファイルを特定したりする目的で使用されています。

Windowsのタスクマネージャーを悪用したMimikatzは認証情報の収集に使われており、LSA認証機構から直接認証情報を窃取することで、平文パスワードをログファイルに記録できるようにしています。

AttackIQのエンジニアリングマネージャーを務めるアンドリュー・コスティス氏は、今回の勧告がMedusaの手口を大幅に更新し、セキュリティチームにとってより対処が困難な手法を取り入れていることを示していると述べています。

同氏は「このグループは正規のリモート管理ツールを自らの攻撃活動に巧みに組み込む一方で、新たな認証情報窃取の手法を用い、セキュリティポリシーを無効化してアクセスを維持しています」と語っています。

「窃取されたActive Directoryのファイルは、Kerberosチケットの偽造に悪用され得るため特に懸念されます。この段階に至ると、Medusaは単にシステムを暗号化するだけの存在ではなくなります。信頼されたユーザーになりすまし、はるかに少ない障害でドメイン全体を移動できる可能性があるのです」

Medusaのデータ窃取と恐喝の手口

Medusaの攻撃者はBandizipをインストールして窃取対象ファイルのアーカイブを作成し、Rcloneを使ってデータをMedusaのC2サーバーへ窃取します。その際、rclone.exeおよび関連するrclone.confファイルの名前を変更することで難読化を図っています。

セキュアファイル転送プロトコル(SFTP)は、暗号化ツールを被害者のマシンに転送するために使用されます。暗号化されたファイルには.medusaという拡張子が付与され、被害者に身代金要求メッセージを残す前に、すべてのサービスを停止しシャドウコピーを削除します。

この手法により、Medusaは二重恐喝モデルを採用することが可能になっています。すなわち、被害者に対しシステムとデータの復旧のためだけでなく、データがオンライン上に公開されるのを防ぐためにも金銭の支払いを要求するのです。

身代金要求メッセージでは通常、被害者に48時間以内の連絡を求めており、要求メッセージへの応答がない場合、Medusaの攻撃者が電話やメールで直接連絡してくることも少なくありません。

身代金要求はMedusaのリークサイト上に掲載され、Medusa関連の暗号資産ウォレットへの直接リンクが張られています。

FBI、被害者にインシデント対応への注力を呼びかけ

• 脅威アクターが使用したツールが残したログなどを含め、脅威ハンティング活動を通じて侵入の範囲を特定する
• Nezhaなどのコマンド&コントロール用ソフトウェアや、組織が使用している他のリモートアクセス手段を除去する
• ローカル管理者アカウントを削除し、サービスアカウントおよびドメイン管理者アカウントの認証情報をローテーションする
• 初期侵入に使われたCVEにパッチが適用されていることを確認する
• CISAのEviction Strategies Toolを活用し、体系的な排除計画に向けた対策をまとめる