美杜莎勒索软件黑客窃取数据、破坏安全工具并加密整个网络

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年8月19日 10:14
北京

在小说阅读器读本章

去阅读

美国网络安全和基础设施安全局 (CISA)、联邦调查局 (FBI) 和美国卫生与公众服务部 (HHS) 联合发布了一份更新的安全公告，警告称 Medusa 勒索软件威胁行为者正在积极渗透企业环境，禁用安全工具，窃取敏感文件，并加密整个网络。

更新后的警报（AA25-071A）反映了截至 2026 年 4 月的全面取证调查结果，证实 Medusa 已入侵 500 多个关键基础设施部门的组织，包括医疗保健、教育、法律、保险、制造和技术。

CISA警告：美杜莎勒索软件窃取数据

Medusa 最早于 2021 年 6 月被发现，当时它是一个封闭的恶意软件组织。大约在 2023 年，它转向了工业化的勒索软件即服务 (RaaS) 模式。在这种模式下，核心开发者将勒索软件有效载荷出租给招募的附属机构，以换取一定比例的勒索收入。

该犯罪集团实施多阶段双重勒索计划，窃取知识产权和病人记录，然后加密目标系统，并将窃取的数据发布在专门的暗网泄露门户网站上。

由于该组织不断以医院和公共卫生组织为目标，导致这些机构持续遭受Medusa 勒索软件攻击带来的不成比例的运营影响，因此美国卫生与公众服务部 (HHS) 也加入了更新公告的共同作者行列。

联盟成员通过与地下初始访问经纪人 (IAB) 合作获得初始访问权限，这些经纪人为有效的企业访问凭证提供 100 美元到 100 万美元不等的报酬。

威胁行为者还会利用已知的软件漏洞，包括 ScreenConnect 身份验证绕过 ( CVE-2024-1709 )、Fortinet FortiClient EMS SQL 注入 ( CVE-2023-48788 )、Fortra GoAnywhere MFT 反序列化缺陷，以及新发现的 BeyondTrust 远程代码执行漏洞（跟踪编号为CVE-2026-1731）。

正如CISA 和联邦合作伙伴联合发布的安全公告中详述的那样，Medusa 攻击者通常会在公开漏洞披露后的 24 小时内将其武器化，有时甚至在公开补丁可用之前就将其武器化，因此加快补丁发布速度对于保护关键端点至关重要。

一旦进入网络边界，运营商就会大量依赖本地技术，使用 PowerShell、cmd.exe 等 Windows 原生二进制文件和 Windows 管理规范 (WMI) 来映射内部基础架构，而不会触发异常进程警报。

攻击者部署易受攻击或被盗的内核驱动程序来终止端点检测和响应 (EDR) 软件，从 LSASS 内存中转储缓存的凭据，并滥用合法的远程监控和管理 (RMM) 平台，如 AnyDesk、Atera 和 SimpleHelp。

这些隐蔽技术反映了更广泛的行业趋势，即在启动加密程序之前禁用端点检测。

威胁行为者还会部署 Mimikatz、CrackMapExec 和 Rclone 等工具来收集网络机密并进行批量文件窃取，依靠将管理实用程序武器化来掩盖恶意命令，使其隐藏在例行系统维护背后。

Windows 加密有效载荷编译为gaze.exe ，在用 AES-256 算法加密扩展名为 .medusa的文件之前，会系统地停止安全服务、删除卷影副本并终止数据库管理系统。

受害者通常有 48 小时的时间通过基于 Tor 的实时聊天或 Tox 即时通讯工具发起谈判。该犯罪团伙经常会提供临时折扣以鼓励及时付款，同时威胁称，如果逾期未付款，他们将拍卖窃取的企业数据集。

联邦机构敦促关键基础设施运营商优先立即修补漏洞，对内部子网进行分段以限制横向移动，并严格限制入站远程管理服务。

安全团队应强制执行防钓鱼的多因素身份验证，维护不可更改的离线备份，并审核端点遥测数据，以发现未经授权的 RMM 安装和管理工具的异常执行。

IoCs