CISA、保健福祉省(HHS)、および連邦捜査局(FBI)は、Medusaランサムウェア・アズ・ア・サービス(RaaS)集団に関する更新版サイバーセキュリティ勧告を発表しました。同集団はこれまでに500を超える重要インフラ被害組織を主張しています。
このサイバーセキュリティ勧告が2025年3月に初めて発表された時点では、当局はMedusaが2021年から2025年2月の間に重要インフラ事業者に対して300件を超える攻撃を行ったと判断していました。Medusaランサムウェアの活動は2021年6月に始まり、当初は開発者が開発、ランサムウェアキャンペーン、身代金交渉のすべてを手掛ける、いわゆるクローズド型のランサムウェア集団として運営されていました。
2023年初頭、Medusaはアフィリエイトが身代金の一部を報酬として攻撃を実行するRaaS型の運営形態へと移行しました。同集団は2023年にデータリークサイトも開設し、二重恐喝の手口を採用しました。被害者に対し、盗んだデータを公開すると脅すことで、データ流出を防ぐためだけでなく、データを復号する鍵を入手するためにも身代金の支払いを迫るというものです。RaaS集団への転換以降、開発者とアフィリエイトの双方が攻撃を行うようになったことで攻撃件数は大幅に増加しました。わずか1年余りの間に、同集団は重要インフラ分野で200件を超える被害を主張しており、これは過去4年間の300件と比較しても急増していることが分かります。
アフィリエイトには、その経験や収益性に応じてさまざまなレベルの権限が与えられ、経験が浅く新規のアフィリエイトほど信頼度が低く設定されます。例えば、経験の浅い新規アフィリエイトについては、身代金交渉などキャンペーンの重要な部分の管理権限を開発者側が保持し続けます。開発者はサイバー犯罪フォーラムで初期アクセスブローカー(IAB)を勧誘し、被害者のネットワークへのアクセスを提供させており、そのアクセスに対して通常100ドルから100万ドルをIABに支払っています。
RaaS集団の中には医療機関を攻撃対象としない方針を掲げるものもありますが、Medusaには明らかにそうした方針はなく、これまで医療・公衆衛生(HPH)分野を頻繁に攻撃してきました。同集団は基本的に日和見的に、パッチが適用されておらずリモートから悪用可能なソフトウェア脆弱性を持つ組織に的を絞って攻撃を仕掛けていると考えられていますが、HPH分野の被害者が占める割合の高さは、同分野を意図的に標的としている可能性を示唆しています。
Medusaによる攻撃は通常、フィッシングか、パッチ未適用の脆弱性の悪用から始まります。同集団は新たに公表された脆弱性のエクスプロイトを次々と手口に取り入れています。例えば、CVE-2026-1731のBeyondTrust脆弱性は2026年2月に発表された直後から悪用が始まり、CVE-2025-10035のFortra GoAnywhere脆弱性も速やかに悪用されました。当局は、同集団が脆弱性の公表から24時間以内に新たなエクスプロイトを手口に組み込む事例を確認しているほか、場合によっては公表の1週間前から悪用を開始しているケースも観測しています。同集団が独自にエクスプロイトを開発しているという証拠は見つかっておらず、むしろ何らかの未知の供給元、おそらくはIABからエクスプロイトを入手し、被害者がパッチを適用する間もないうちに悪用しているとみられています。
Medusaの攻撃者は環境寄生型(living-off-the-land)の手法を用い、正規のツールを利用して認証情報へのアクセス、データの窃取、ランサムウェアの展開といった悪意ある活動を隠蔽します。リモート監視・管理ソフトウェアや、リモートデスクトッププロトコル(RDP)などのリモートアクセスサービスも利用されています。
HPH分野の組織が攻撃を防ぐために取るべき重要な対策は、既知の脆弱性を迅速に是正し、すべてのソフトウェア、ファームウェア、オペレーティングシステムに常に最新のパッチを適用しておくことです。また、ネットワークをセグメント化して内部での水平移動を制限し、未知または信頼できない発信元から内部システム上のリモートサービスへのアクセスを防ぐようネットワークトラフィックをフィルタリングする必要があります。
2025年3月13日:重要インフラ事業者に警告、Medusaランサムウェアの被害者数が300件に到達
Medusaランサムウェア・アズ・ア・サービス(RaaS)集団について警告が発せられました。同集団は現在までに、医療、教育、製造業を含む重要インフラ分野で300件を超える被害を主張しています。同集団は2021年6月から活動しており、当初はクローズド型の集団として始まりましたが、その後、アフィリエイトを勧誘して身代金の一部と引き換えに攻撃を実行させるRaaSモデルを採用しました。
集団結成からおよそ2年後、Medusaはデータリークサイトを開設し、被害者名を公表するとともに、身代金が支払われない場合は盗んだデータを公開するようになりました。身代金を支払わなければ復号鍵を入手できないだけでなく、盗まれたデータの公開も防げないというこの二重恐喝の手口は、RaaS集団の間では一般的な手法ですが、Medusaの場合は中核メンバーが身代金交渉の主導権を握り続けている点が特徴です。
サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、複数州情報共有分析センター(MS-ISAC)による共同サイバーセキュリティ勧告によると、Medusaの開発者はサイバー犯罪フォーラムやマーケットプレイスで初期アクセスブローカー(IAB)を勧誘し、Medusaとのみ取引するよう誘因を与えています。当局は、アフィリエイトがフィッシングによって被害者のネットワークへのアクセスに必要な認証情報を入手しているほか、昨年公表されたScreenConnectの脆弱性CVE-2024-1709や、FortinetのEMSにおけるSQLインジェクション脆弱性CVE-2023-48788など、パッチ未適用の脆弱性を悪用している事例も確認しています。
被害者のネットワークへのアクセスを得ると、Medusaの攻撃者は環境寄生型の手法を用いて、ユーザー、システム、ネットワーク、ファイルシステムの列挙を行います。その際、Advanced IP Scanner、SoftPerfect Network Scanner、PowerShell、Windowsコマンドプロンプト、Ingress Tool Transfer機能といった正規ツールのほか、システム情報の照会にはWindows Management Instrumentation(WMI)を利用します。
当局は、Medusaの攻撃者がいくつもの異なるPowerShell検知回避手法を用いていることを確認しており、PowerShellのコマンドライン履歴を削除して活動を隠蔽することでも知られています。エンドポイント検知・対応(EDR)ツールは、脆弱なドライバーや署名済みドライバーを悪用してプロセスを強制終了させることで無効化されるほか、検知回避や水平移動を助けるために正規のリモートアクセスソフトウェアがリモートデスクトッププロトコル(RDP)やPsExecとともによく利用されます。データ窃取にはRcloneが用いられ、暗号化プログラムはSysinternals PsExec、PDQ Deploy、BigFixといったツールを使ってネットワーク全体に展開されます。特定の標的に対してはWindows Defenderなどのセキュリティツールも無効化され、バックアップ処理は停止させられ、身代金を支払わずに暗号化されたファイルを復元できないようにするためシャドウコピーも削除されます。被害者には交渉のために連絡を取るまで48時間の猶予が与えられ、Medusaの攻撃者は電話やメールで被害者に直接接触することでも知られています。少なくとも1件、最初の身代金支払い後にさらなる身代金要求が発生した事例があり、その際、攻撃を実行したアフィリエイトは支払いを受け取っていないと主張していました。
このサイバーセキュリティ勧告では、侵害の痕跡(IOC)、既知のMITRE ATT&CK戦術・技術、推奨される緩和策が共有されています。特に重要な対策として、既知の脆弱性を速やかに是正すること、ネットワークをセグメント化して水平移動を制限すること、未知または信頼できない発信元から内部システム上のリモートサービスへのアクセスを防ぐようネットワークトラフィックをフィルタリングすること、Webメール、VPN、および重要システムにアクセスするすべてのアカウントに多要素認証を導入すること、そしてフィッシングの見分け方と回避方法について従業員教育を行うことが挙げられています。
翻訳元: https://www.hipaajournal.com/medusa-ransomware/
