Nach Angaben von CISA, HHS und FBI hat Medusa bis April 2026 „mehr als 500 Opfer“ in mehreren Bereichen der kritischen Infrastruktur getroffen. Die Behörden nennen ausdrücklich die Sektoren Gesundheitswesen und öffentliche Gesundheit, verteidigungsindustrielle Basis, kritische Fertigung, staatliche Dienstleistungen und Einrichtungen, Informationstechnologie sowie Finanzdienstleistungen. Darüber hinaus seien auch Organisationen aus Medizin, Bildung, Rechtswesen, Versicherungen, Technologie und Fertigung betroffen.

Die neue Warnung ist eine Fortschreibung eines gemeinsamen Berichts aus dem März 2025. Damals hieß es noch, die Medusa-Operation habe schätzungsweise mehr als 300 Organisationen der kritischen Infrastruktur beeinträchtigt. Die nun veröffentlichten Zahlen deuten damit auf eine deutliche Ausweitung der bekannten Opferzahl hin.

In ihrer Handlungsempfehlung raten die drei US-Behörden Netzwerkverteidigern, Systeme durch das Beheben von Sicherheitslücken zu schützen, um Betriebssysteme, Software und Firmware vor Ausnutzungsversuchen abzusichern. Außerdem empfehlen sie Netzwerksegmentierung, um laterale Bewegungen nach einer Kompromittierung zu unterbinden, sowie das Blockieren von Zugriffen aus nicht vertrauenswürdigen Quellen auf entfernte Dienste in internen Systemen.

Die Medusa-Ransomware-Operation tauchte vor fünf Jahren, im Januar 2021, auf. Größere Aktivität entfaltete die Gruppe laut der Warnung aber erst 2023, nachdem sie die Leak-Seite Medusa Blog gestartet hatte und gestohlene Daten als Druckmittel einsetzte, um Opfer zur Zahlung von Lösegeld zu bewegen.

Laut der gemeinsamen Warnung trat Medusa zunächst als geschlossene Ransomware-Variante auf, entwickelte sich später aber zu einer Ransomware-as-a-Service-Operation und übernahm ein Affiliate-Modell. „Medusa-Entwickler rekrutieren typischerweise Initial-Access-Broker in Cyberkriminalitätsforen und Marktplätzen, um Erstzugang zu potenziellen Opfern zu erhalten“, heißt es in der Warnung. Den Affiliates würden dabei mögliche Zahlungen zwischen 100 US-Dollar und 1 Million US-Dollar angeboten, verbunden mit der Möglichkeit, exklusiv für Medusa zu arbeiten.

Die Bezeichnung Medusa sorgt laut dem Bericht immer wieder für Verwirrung, weil sie auch bei anderen Malware-Familien und Cybercrime-Operationen verwendet wird. Genannt werden unter anderem ein auf Mirai basierendes Botnetz mit Ransomware-Fähigkeiten sowie eine 2020 entdeckte Android-Malware-as-a-Service-Operation, die auch als TangleBot verfolgt wird. Deshalb werde Medusa-Ransomware in Berichten häufig mit der bekannten MedusaLocker-Ransomware verwechselt, obwohl es sich um unterschiedliche Operationen handelt.

Größere mediale Aufmerksamkeit erhielt die Medusa-Cybercrime-Operation laut dem Text im März 2023, als sie einen Angriff auf den Schulbezirk Minneapolis Public Schools (MPS) für sich reklamierte und ein Video der gestohlenen Daten veröffentlichte.