Ransomware Medusa uderzył już w ponad 500 organizacji. Hakerzy polują na infrastrukturę krytyczną

Ransomware Medusa nie zwalnia tempa. Od momentu pojawienia się w 2021 roku grupa stojąca za złośliwym oprogramowaniem zaatakowała już ponad 500 organizacji na całym świecie. Ofiarami są między innymi firmy z sektora zdrowia, finansów, przemysłu, administracji publicznej, edukacji i technologii.

Jeszcze w marcu 2025 roku liczba znanych poszkodowanych organizacji wynosiła około 300. W ciągu kolejnych miesięcy wzrosła o ponad 200. Skala działalności Medusy przyciągnęła uwagę amerykańskich służb, które ostrzegają, że szczególnie narażone są podmioty odpowiedzialne za działanie infrastruktury krytycznej.

Medusa działa jak biznes ransomware

Medusa zaczynała działalność jako bardziej zamknięta operacja. Z czasem przekształciła się w model ransomware-as-a-service. Hakerzy stojący za projektem udostępniają narzędzia oraz infrastrukturę partnerom, którzy samodzielnie prowadzą ataki i dzielą się później zyskami.

Istotną rolę odgrywają brokerzy początkowego dostępu. To cyberprzestępcy specjalizujący się w zdobywaniu dostępu do firmowych sieci. Wykorzystują podatności, błędy konfiguracji oraz inne słabości zabezpieczeń, a następnie sprzedają dostęp kolejnym grupom przestępczym.

Według informacji dotyczących działalności Medusy ceny takiego dostępu mogą wynosić od około 100 tys. do nawet miliona dolarów. Dla atakujących oznacza to możliwość rozpoczęcia operacji bez konieczności samodzielnego przebijania się przez pierwszą warstwę zabezpieczeń.

Najpierw kradzież danych, później szyfrowanie

Po przejęciu dostępu przestępcy starają się poruszać po sieci w sposób trudny do wykrycia. Wykorzystują między innymi popularne programy do zdalnego zarządzania komputerami. Pozwala im to korzystać z narzędzi, które mogą już znajdować się na urządzeniach zaatakowanej organizacji.

Następnie identyfikują wartościowe dane i przygotowują je do wyprowadzenia poza sieć. Do tego celu wykorzystywany jest między innymi Rclone, pozwalający na przesyłanie dużych zbiorów plików.

Dopiero później pojawia się właściwe szyfrowanie. Medusa może wyłączać usługi związane z kopiami zapasowymi, bazami danych, bezpieczeństwem oraz udostępnianiem plików. Usuwane są także kopie w tle systemu. Po wykonaniu tych operacji dane zostają zaszyfrowane, a ofiara otrzymuje żądanie okupu.

Atak może objąć także maszyny wirtualne. Po zakończeniu operacji przestępcy usuwają część wykorzystywanych wcześniej narzędzi, utrudniając analizę incydentu.

Na celowniku są firmy, szpitale i administracja

Lista sektorów dotkniętych działalnością Medusy jest długa. Wśród ofiar znajdują się organizacje związane z ochroną zdrowia, przemysłem zbrojeniowym, produkcją, edukacją, usługami prawnymi, ubezpieczeniami, administracją publiczną, IT oraz finansami.

Dla infrastruktury krytycznej szczególnie poważnym problemem jest możliwość zakłócenia działania usług, od których zależą całe regiony. W przypadku takich organizacji incydent nie musi ograniczać się do utraty dostępu do dokumentów czy systemów wewnętrznych.

Amerykańskie FBI, CISA oraz Departament Zdrowia i Opieki Społecznej wydały wspólne ostrzeżenie dotyczące zagrożenia ze strony Medusy. Pełne ostrzeżenie FBI, CISA i HHS

Amerykańskie służby apelują o szybkie aktualizacje

Zalecenia dla organizacji są przede wszystkim związane z ograniczeniem możliwości przedostania się napastników do sieci oraz utrudnieniem im przemieszczania się po jej zasobach.

Służby zalecają szybkie instalowanie aktualizacji systemów operacyjnych, aplikacji i firmware'u. Ważną rolę ma również segmentacja sieci. Oddzielenie poszczególnych środowisk może ograniczyć możliwość przejęcia kolejnych systemów po udanym włamaniu.

Organizacje powinny także monitorować ruch sieciowy i ograniczać dostęp z nieznanych źródeł do zdalnych usług działających wewnątrz firmowej infrastruktury.

Medusa szybko zwiększyła liczbę ofiar

Tempo wzrostu liczby poszkodowanych pokazuje, jak dużym problemem stała się działalność grupy. W marcu 2025 roku raportowano około 300 ofiar. Obecnie mowa już o ponad 500 organizacjach.

Nie jest to jednak jedynie historia kolejnego ransomware szyfrującego pliki. Model działania Medusy łączy sprzedaż dostępu do sieci, kradzież danych, sabotaż kopii zapasowych i szyfrowanie infrastruktury. Dla przedsiębiorstw oznacza to konieczność zabezpieczenia nie tylko komputerów użytkowników, lecz całego środowiska, w którym przechowywane są dane i działają usługi.