Medusa
Medusa ransomware ist eine ausgeklügelte Cyber-Bedrohung, die für ihre schnellen Verschlüsselungsfähigkeiten und einzigartigen Einsatztechniken bekannt ist und in erster Linie auf Unternehmen in verschiedenen Branchen abzielt, um Lösegeldzahlungen zu erpressen.
Der Ursprung der Medusa ransomware
Medusa oder MedusaBlog ist eine ausgeklügelte ransomware Gruppe, die seit mindestens Anfang 2023 aktiv Organisationen angreift. Die Gruppe ist für ihre schnellen Verschlüsselungsfähigkeiten und einzigartigen Techniken zur Verbreitung ihrer malware bekannt geworden und scheint mit MedusaLocker verwandt zu sein. Der Name "Medusa" spiegelt die Tendenz der Gruppe wider, Dateien metaphorisch "zu Stein zu verwandeln" und sie unbrauchbar zu machen, bis ein Lösegeld gezahlt wird.
Quelle: Unit42 und OCD
Ziele
MedusaZiele
Zielländer von Medusa ransomware
Der Großteil der Angriffe von Medusa konzentrierte sich auf die Vereinigten Staaten, aber auch aus Ländern wie dem Vereinigten Königreich, Kanada und Australien wurden bedeutende Vorfälle gemeldet. Diese Verteilung deutet darauf hin, dass der Schwerpunkt auf Industrienationen mit umfangreichen digitalen Infrastrukturen liegt.
Quelle: Unit42
Zielindustrien von Medusa ransomware
Medusa ransomware hat sich auf eine Vielzahl von Branchen ausgewirkt. Zu den hochrangigen Zielen gehören das Gesundheitswesen, die verarbeitende Industrie, das Bildungswesen und professionelle Dienstleistungen, was die Strategie der Gruppe widerspiegelt, Sektoren anzugreifen, in denen kritische und sensible Informationen verarbeitet werden.
Quelle: Unit42
Zielindustrien von Medusa ransomware
Medusa ransomware hat sich auf eine Vielzahl von Branchen ausgewirkt. Zu den hochrangigen Zielen gehören das Gesundheitswesen, die verarbeitende Industrie, das Bildungswesen und professionelle Dienstleistungen, was die Strategie der Gruppe widerspiegelt, Sektoren anzugreifen, in denen kritische und sensible Informationen verarbeitet werden.
Quelle: Unit42
Medusa ransomwaredie Opfer
Medusa hat seit 2023 mehr als 235 Opfer angegriffen .
Quelle: ransomware. live
Angriffsmethode
Medusa ransomwareAngriffsmethode
Medusa verschaffen sich in der Regel Zugang, indem sie Schwachstellen in Remote-Desktop-Protokollen (RDP) ausnutzen und phishing Kampagnen durchführen. Sie verwenden auch kompromittierte Anmeldeinformationen, die sie auf verschiedene Weise erhalten haben.
Sobald er in ein Netzwerk eingedrungen ist, verwendet Medusa Tools wie PsExec, um die Privilegien zu erhöhen und eine stärkere Position im System einzunehmen.
Die Gruppe deaktiviert Sicherheitstools mithilfe von PowerShell-Skripten und ändert Registrierungseinstellungen, um eine Erkennung zu vermeiden. Sie nutzen auch Techniken zur Verschlüsselung von Zeichenfolgen, um bösartigen Code zu verschleiern.
Medusa sammelt Anmeldeinformationen mit Hilfe verschiedener Befehlszeilen-Tools und Skripte, so dass sie sich seitlich durch das Netzwerk bewegen können.
Mit Tools wie Netscan führen sie eine umfassende Netzwerkerkundung durch, um wertvolle Ziele zu identifizieren und Informationen über die Netzwerktopologie zu sammeln.
Medusa verwendet legitime Tools und Protokolle wie RDP und SMB, um sich innerhalb des Netzwerks zu bewegen und gestohlene Anmeldedaten zu nutzen.
Die ransomware sammelt sensible Daten von den infizierten Systemen und bereitet sie für die Exfiltration vor.
ransomware verschlüsselt Dateien mit AES256-Verschlüsselung und hängt die Erweiterung ".medusa" an die betroffenen Dateien an.
Die Daten werden auf entfernte Server exfiltriert, die von den Angreifern kontrolliert werden. Diese Daten werden dann verwendet, um die Opfer zur Zahlung des Lösegelds zu zwingen.
In der letzten Phase wird eine Lösegeldforderung mit dem Namen "!!read_me_medusa!!.txt" versendet, in der die Opfer angewiesen werden, das Lösegeld für die Entschlüsselung ihrer Dateien zu zahlen. Die Gruppe verwendet eine Mischung aus RSA- und AES-Verschlüsselung, um die Lösegeldtransaktionen zu sichern.
Erster Zugang
Medusa verschaffen sich in der Regel Zugang, indem sie Schwachstellen in Remote-Desktop-Protokollen (RDP) ausnutzen und phishing Kampagnen durchführen. Sie verwenden auch kompromittierte Anmeldeinformationen, die sie auf verschiedene Weise erhalten haben.
Rechte-Eskalation
Sobald er in ein Netzwerk eingedrungen ist, verwendet Medusa Tools wie PsExec, um die Privilegien zu erhöhen und eine stärkere Position im System einzunehmen.
Verteidigung Umgehung
Die Gruppe deaktiviert Sicherheitstools mithilfe von PowerShell-Skripten und ändert Registrierungseinstellungen, um eine Erkennung zu vermeiden. Sie nutzen auch Techniken zur Verschlüsselung von Zeichenfolgen, um bösartigen Code zu verschleiern.
Zugang zu Anmeldeinformationen
Medusa sammelt Anmeldeinformationen mit Hilfe verschiedener Befehlszeilen-Tools und Skripte, so dass sie sich seitlich durch das Netzwerk bewegen können.
Entdeckung
Mit Tools wie Netscan führen sie eine umfassende Netzwerkerkundung durch, um wertvolle Ziele zu identifizieren und Informationen über die Netzwerktopologie zu sammeln.
Seitliche Bewegung
Medusa verwendet legitime Tools und Protokolle wie RDP und SMB, um sich innerhalb des Netzwerks zu bewegen und gestohlene Anmeldedaten zu nutzen.
Sammlung
Die ransomware sammelt sensible Daten von den infizierten Systemen und bereitet sie für die Exfiltration vor.
Ausführung
ransomware verschlüsselt Dateien mit AES256-Verschlüsselung und hängt die Erweiterung ".medusa" an die betroffenen Dateien an.
Exfiltration
Die Daten werden auf entfernte Server exfiltriert, die von den Angreifern kontrolliert werden. Diese Daten werden dann verwendet, um die Opfer zur Zahlung des Lösegelds zu zwingen.
Auswirkungen
In der letzten Phase wird eine Lösegeldforderung mit dem Namen "!!read_me_medusa!!.txt" versendet, in der die Opfer angewiesen werden, das Lösegeld für die Entschlüsselung ihrer Dateien zu zahlen. Die Gruppe verwendet eine Mischung aus RSA- und AES-Verschlüsselung, um die Lösegeldtransaktionen zu sichern.
MITRE ATT&CK Kartierung
TTPs verwendet von Medusa ransomware
Medusa ransomware setzt verschiedene TTPs ein, die auf den Rahmen von MITRE ATT&CK abgestimmt sind. Einige der wichtigsten TTPs sind:
TA0001: Initial Access
T1566
Phishing
T1133
External Remote Services
T1078
Valid Accounts
TA0002: Execution
T1059
Command and Scripting Interpreter
TA0003: Persistence
T1098
Account Manipulation
T1078
Valid Accounts
TA0004: Privilege Escalation
T1078
Valid Accounts
TA0005: Defense Evasion
T1112
Modify Registry
T1027
Obfuscated Files or Information
T1070
Indicator Removal
T1562
Impair Defenses
T1078
Valid Accounts
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
T1046
Network Service Discovery
T1018
Remote System Discovery
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
T1115
Clipboard Data
TA0011: Command and Control
T1105
Ingress Tool Transfer
TA0010: Exfiltration
T1041
Exfiltration Over C2 Channel
TA0040: Impact
T1486
Data Encrypted for Impact
Plattform-Detektionen
So erkennen Sie Medusa ransomware mit Vectra AI
Häufig gestellte Fragen
Welches ist die primäre Methode des Erstzugangs von Medusa?
Medusa nutzt in erster Linie Schwachstellen in Remote-Desktop-Protokollen (RDP) aus und verwendet phishing Kampagnen, um sich einen ersten Zugang zu verschaffen.
Wie kann Medusa ransomware der Entdeckung entgehen?
Sie verwenden PowerShell-Skripte und ändern Registrierungseinstellungen, um Sicherheitstools zu deaktivieren und eine Erkennung zu vermeiden.
Auf welche Branchen zielt Medusa ransomware am meisten ab?
Das Gesundheitswesen, das verarbeitende Gewerbe, das Bildungswesen und die freien Berufe gehören zu den am stärksten betroffenen Branchen.
Welche Verschlüsselungsmethoden verwendet Medusa ransomware ?
Medusa verwendet eine Kombination aus RSA- und AES256-Verschlüsselung, um die Transaktionen von ransomware zu sichern und die Dateien der Opfer zu verschlüsseln.
Wie exfiltriert Medusa ransomware Daten?
Die Daten werden auf entfernte, von den Angreifern kontrollierte Server exfiltriert, in der Regel über sichere Kanäle, um nicht entdeckt zu werden.
Wie lautet der typische Name einer Lösegeldforderung, die von Medusa verwendet wird?
Die Lösegeldforderung trägt in der Regel den Namen "!!read_me_medusa!!.txt".
Welche Tools werden von Medusa ransomware für die Netzwerkerkennung verwendet?
Medusa verwendet Tools wie Netscan zur Netzwerkaufklärung und zur Identifizierung wertvoller Ziele.
Wie erreicht Medusa ransomware die seitliche Bewegung?
Sie verwenden legitime Tools und Protokolle wie RDP und SMB und nutzen gestohlene Anmeldedaten, um sich seitlich zu bewegen.
Wie können sich Organisationen gegen Medusa ransomware schützen?
Die Umsetzung strenger Sicherheitsmaßnahmen, wie z. B. regelmäßige Patches, die Verwendung von Multi-Faktor-Authentifizierung und die Überwachung des Netzwerkverkehrs auf ungewöhnliche Aktivitäten, kann zum Schutz vor Medusa beitragen.
Welche Rolle können XDR-Lösungen bei der Abwehr von Medusa ransomware spielen?
XDR-Lösungen bieten umfassende Transparenz und automatisierte Reaktionsmöglichkeiten, um verdächtige Aktivitäten an Endpunkten, in Netzwerken und in cloud Umgebungen zu erkennen und zu entschärfen.