Medusa

Überblick

Medusa ist eine als Ransomware-as-a-Service betriebene Erpressungsoperation, die über einen längeren Zeitraum hinweg zahlreiche Opfer angegriffen hat. Im Fokus stehen dabei vor allem Einrichtungen kritischer Infrastruktur, darunter das Gesundheitswesen, der Bildungssektor, Kanzleien und juristische Dienstleister sowie die Fertigungsindustrie. Charakteristisch ist das Vorgehen nach dem Prinzip der doppelten Erpressung: Daten werden vor der Verschlüsselung aus dem Opfernetz abgezogen, sodass neben der Betriebsunterbrechung auch die Drohung mit einer Veröffentlichung der gestohlenen Informationen als Druckmittel dient. Als Dienstleistungsmodell arbeitet Medusa mit angeschlossenen Partnern, die die Schadsoftware und die zugehörige Infrastruktur nutzen, während der Kern der Operation Werkzeuge und Erpressungsplattform bereitstellt. Die Aktivität der Gruppe hat sich deutlich gesteigert, was zu einer förmlichen behördlichen Warnmeldung der US-amerikanischen Cybersicherheitsbehörde CISA geführt hat. Medusa gilt damit als eine der aktiv weiterentwickelten Erpressungsoperationen mit klarem Schwerpunkt auf versorgungsrelevanten Sektoren.

Taktiken & Vorgehen

Der Erstzugang erfolgt über gültige oder per Brute Force erratene Zugangsdaten legitimer RDP-Konten, über Phishing-Anhänge, über Schwachstellen in öffentlich erreichbaren Anwendungen wie ScreenConnect oder Fortinet EMS sowie über bei Initial Access Brokern eingekaufte Zugänge. Zur Ausführung dienen Windows-Befehlszeile, PowerShell, WMI, PsExec, Native API und Software-Verteilungslösungen wie HCL BigFix und PDQ Deploy. Zugangsdaten werden mit Mimikatz aus dem LSASS-Speicher, aus ntds.dit und über gefälschte Kerberos-Tickets gewonnen. Zur Erkundung dienen Advanced IP Scanner, SoftPerfect NetScan und PDQ Inventory. Sicherheitslösungen werden über anfällige oder signierte Treiber, EDRSandBlast, KillAV, den ThrottleStop-Treiber, Safe-Mode-Boot und Registry-Änderungen ausgeschaltet; Spuren und PowerShell-Historie werden gelöscht, Skripte Base64-obfuskiert und Treiber gepackt. Exfiltration erfolgt mit RClone, RoboCopy und BITSAdmin in Cloud-Speicher, Tunnel und Fernwartung über Cloudflared, FRP, Ligolo, RevSocks, PuTTY, AnyDesk, Atera, N-Able, SimpleHelp, Splashtop und eHorus. Abschließend werden Dienste gestoppt, Schattenkopien gelöscht, virtuelle Maschinen und ESXi-Systeme kompromittiert und Daten mit AES-256 verschlüsselt.

Schutzmaßnahmen

RDP-Zugänge sollten nicht direkt aus dem Internet erreichbar sein, über VPN sowie Mehr-Faktor-Authentisierung abgesichert und gegen Brute-Force-Versuche mit Sperrmechanismen geschützt werden. Öffentlich erreichbare Fernwartungs- und Verwaltungsanwendungen wie ScreenConnect oder Fortinet EMS sollten konsequent gepatcht werden. Nicht benötigte Fernwartungswerkzeuge wie AnyDesk, Atera, SimpleHelp, Splashtop oder eHorus sollten per Anwendungssteuerung blockiert werden, ebenso das Nachladen anfälliger oder signierter Treiber. PowerShell- und WMI-Nutzung, PsExec, BITSAdmin und certutil sowie Änderungen an Firewallregeln, Registry und Gruppenrichtlinien sollten protokolliert und ausgewertet werden. Der Zugriff auf LSASS und ntds.dit ist zu überwachen, Software-Verteilungslösungen wie PDQ Deploy und BigFix sind streng zu berechtigen, ausgehender Verkehr zu Cloud-Speichern und Tunneldiensten ist zu beschränken.