Il ransomware Medusa ha colpito oltre 300 infrastrutture critiche

Il bilancio delle vittime del ransomware Medusa è tutt’altro che rassicurante: stando a un recente advisory pubblicato dalla CISA, il malware avrebbe colpito oltre 300 infrastrutture critiche statunitensi sin dall’inizio della sua attività nel 2021.

Inizialmente il ransomware era una variante “chiusa” e gestita da un unico gruppo; negli anni si è poi evoluto in un modello as-a-service dove gli sviluppatori originari si occupano di gestire il pagamento dei riscatti. Sia gli ideatori del ransomware Medusa che gli affiliati seguono un modello a doppia estorsione.

La CISA ha rivelato che il gruppo dietro il ransomware recluta Initial Access Broker su forum e marketplace per ottenere l’accesso iniziale alle reti delle potenziali vittime. Agli affiliati viene chiesto di non collaborare con altri gruppi, dietro il pagamento di una somma che va dai 100 dollari a un milione di dollari.

Gli affiliati di Medusa si servono per lo più di campagne di phishing per sottrarre le credenziali degli account delle vittime, ma ricorrono anche allo sfruttamento di vulnerabilità software note. Dopo l’accesso iniziale, gli attaccanti usano tool legittimi come Advanced IP Scanner e SoftPerfect Network Scanner per la scansione e l’enumerazione di utenti, sistemi e reti.

Per eludere i controlli di sicurezza, gli attaccanti usano tool come Certutil e tecniche che fanno uso di PowerShell per nascondere le proprie tracce. A seguire, per la fase di spostamento laterali, i cybercriminali usano numerosi tool di accesso remoto come AnyDesk, Atera, ConnectWise, eHorus, N-able, PDQ Deploy, PDQ Inventory, SimpleHelp e Splashtop in combinazione con Remote Desktop Protocol e PsExec.

Infine gli affiliati installano Rclone sulle macchine compromesse per facilitare l’esfiltrazione di dati e ricorrono a PsExec, PDQ Deploy o BigFix per la cifratura dei file.

Pixabay

Gli attaccanti chiedono di essere contattati per il pagamento del riscatto entro 48 ore dall’attacco, tramite una chat basata su browser Tor o Tox, un servizio di messaggistica con cifratura end-to-end. Nel caso la vittima non risponda alla richiesta, i cybercriminali provvedono a contattarla direttamente via telefono o email.

“Le indagini dell’FBI hanno rilevato che, dopo aver pagato il riscatto, una vittima è stata contattata da un altro attaccante di Medusa che ha affermato che il negoziatore aveva rubato l’importo del riscatto già pagato e ha chiesto di effettuare nuovamente metà del pagamento per fornire il “vero decryptor”, indicando potenzialmente uno schema di tripla estorsione” spiega la CISA.

L’attività di Medusa è tutt’altro che in calo: secondo quanto riportato dal Threat Hunter Team di Symantec, tra gennaio e febbraio gli attacchi del gruppo sono aumentati del doppio rispetto allo stesso periodo del 2024, e l’andamento continua a essere crescente.