Meer dan driehonderd organisaties wereldwijd zijn de afgelopen jaren getroffen door de Medusa-ransomware, zo stelt de FBI (pdf). Medusa wordt aangeboden als Ransomware-as-a-Service (RaaS). Via RaaS kunnen criminelen op eenvoudige wijze over ransomware beschikken, waarbij er een deel van de inkomsten naar de ontwikkelaar van de ransomware gaat. Criminelen moeten in dit geval de ransomware nog wel zelf verspreiden.

De eerste versie van de Medusa-ransomware verscheen in juni 2021, aldus de FBI. Sindsdien zijn meer dan driehonderd organisaties in verschillende sectoren slachtoffer geworden. Het gaat onder andere om vitale sectoren. Voor de verspreiding van de Medusa-ransomware wordt samengewerkt met initial access brokers (IAB's). Dat zijn criminelen die zich bezighouden met het infecteren van organisaties en bedrijven. Vervolgens wordt de verkregen toegang tot bedrijfsnetwerken aan andere criminelen verkocht.

Volgens de FBI betalen de Medusa-ontwikkelaars voor deze toegang bedragen tussen de honderd en één miljoen dollar. De partners van Medusa (IAB's) maken gebruik van phishing en bekende kwetsbaarheden om toegang tot de systemen van hun slachtoffers te krijgen. Het gaat onder andere om beveiligingslekken in ScreenConnect (CVE-2024-1709) en Fortinet EMS (CVE-2023-48788).

Zodra de aanvallers toegang tot een systeem hebben gekregen maken ze gebruik van al aanwezige tools om zich lateraal door het netwerk te bewegen. Het gaat onder andere om AnyDesk, Atera, ConnectWise, eHorus, N-able, PDQ Deploy, PDQ Inventory, SimpleHelp en Splashtop. Voordat de aanvallers de Medusa-ransomware uitrollen installeren ze eerst het programma Rclone om allerlei data van de aangevallen organisatie te stelen. Wanneer organisaties niet op tijd het gevraagde losgeld betalen dreigt de groep gestolen gegevens openbaar te maken. Slachtoffers kunnen de deadline voor het betalen van losgeld verlengen voor een bedrag van 10.000 dollar per dag, aldus de FBI.

De Amerikaanse opsporingsdienst geeft organisaties in een apart document over de Medusa-ransomware verschillende adviezen om infectie te voorkomen. Zo wordt aangeraden beveiligingsupdates tijdig te installeren, netwerksegmentatie toe te passen en netwerkverkeer te filteren, om zo te voorkomen dat onbekende of niet vertrouwde locaties toegang tot remote services op interne systemen krijgen.