medusa

Medusa ランサムウェアの正体と来歴

Medusa は 2021 年 6 月に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）である [s2]。当初は同一の攻撃者集団が開発と攻撃キャンペーンの両方を統制するクローズド運営だったが、遅くとも 2023 年初頭からは、経験や収益性に応じて信頼度の異なるアフィリエイトに RaaS を提供する形へ移行した [s2]。新規または経験の浅いアフィリエイトについては、身代金交渉などの重要な工程を開発者が集中管理することがある [s2]。一方 Unit 42 は、Medusa が 2022 年後半に RaaS として登場し、2023 年初頭に悪名を高めたと説明しており、時期の見方に差がある [s3]。FBI によれば、Medusa は MedusaLocker や Medusa モバイルマルウェアとは無関係である [s2]。Unit 42 も、2019 年から提供されている MedusaLocker と混同しないよう注意している [s3]。RansomLook の初出記録は 2023 年 2 月 13 日で、連絡手段として tox と Telegram が挙げられている。Tox ID は 6E8CDBCFFCC204358615563A3C2325E08DE03B785F6A85D783DE6E43AF246430142D9CBD4664、Telegram の招待は hxxps://t[.]me/+lyskiDn9KiYxZjlh と hxxps://t[.]me/+yXOcSjVjI9tjM2E0 である。ランサムウェア本体のバイナリー名や設定ファイルには神話のメデューサにちなんだ「Gaze（凝視）」という語が使われている [s4]。

手口

初期アクセスでは、サイバー犯罪フォーラムなどで初期アクセスブローカー（IAB）を募る。支払額は 100 ドルから 100 万ドルとされ、専属で働く機会も提示するが、多くの IAB は複数のランサムウェアのために同時に働く [s2]。主な侵入経路は、認証情報を盗むためのフィッシング [T1566] と、未修正脆弱性の悪用 [T1190] である [s2]。悪用が確認された脆弱性は、ScreenConnect の CVE-2024-1709、Fortinet EMS の CVE-2023-48788、Fortra GoAnywhere の CVE-2025-10035、BeyondTrust の CVE-2026-1731 である [s2]。新たに公表された脆弱性は 24 時間以内に悪用し、公開の最大 1 週間前から悪用した例も観測されているが、自前でゼロデイや N-day を開発している兆候はない [s2]。侵入成功の確認には Interactsh の oast[.]site、oast[.]pro、oast[.]fun の各ドメインを使う [s2]。Unit 42 の対応事例では、侵害した Microsoft Exchange Server に Web シェルを置き、PowerShell で bitsadmin transfer を実行して filemail[.]com から baby.zip を取得し、RMM の ConnectWise を導入していた [s3]。RDP の弱い認証情報の悪用を挙げる出典もある [s6]。

侵入後は Advanced IP Scanner や SoftPerfect Network Scanner で列挙し [s2]、PowerShell と cmd.exe、WMI を使う [s2]。認証情報の窃取には Mimikatz、タスクマネージャー、comsvcs.dll の Minidump を使い [s5]、データの持ち出しには rclone を使う [s5]。横展開には PDQ Deploy や BigFix、RDP、PsExec を使い [s5]、AnyDesk も悪用する [s5]。防御回避では、セキュリティ製品を終了させるカーネルドライバー 2 種を投下し、Safengine Shielden で保護していた [s4]。暗号化は AES-256 で、拡張子 .medusa を付け、暗号化プロセスは gaze.exe である [s5]。ボリュームシャドウコピーも削除する [s5]。

リークサイト「Medusa Blog」は 2023 年初頭に Tor の .onion サイトとして開設された [s3]。投稿には価格、カウントダウン、訪問者数、被害者名が表示され、1 日延長の標準料金は 1 万ドル、データ削除やダウンロードの価格は組織ごとに異なる [s3]。公開 Telegram チャンネル「information support」でも漏えいデータが公開されている [s3]。盗んだデータを期限前に第三者へ競売にかけるほか、電話やメールで被害者に直接連絡し、支払い後に再度恐喝した例から三重恐喝の可能性も指摘されている [s5]。

標的と主な被害

FBI などによれば、2026 年 4 月時点で 500 以上の被害者があり、医療、教育、法務、保険、技術、製造業など重要インフラの各分野に及ぶ [s2]。特定の組織や業種を狙うのではなく、未修正のソフトウェアを持つ組織を日和見的に狙うが、医療・公衆衛生分野は頻繁に被害を受けている [s2]。リークサイトに基づく Unit 42 の集計では、2023 年に世界 74 組織に影響した可能性があり、ハイテク、教育、製造業が多い [s3]。国別では米国が 24 件で最多で、英国、フランス、イタリアなど欧州も多い [s3]。アフリカ、南米、アジアでも散発的な被害がある [s3]。2023 年には Toyota Financial Services が、中央ヨーロッパのシステムへの侵入を受けて 800 万ドルの身代金を要求されたとされる [s6]。

動向

2025 年 3 月 12 日に公開された CISA、FBI の共同勧告は、2026 年 8 月 18 日に HHS を加えて更新され、FBI の 2026 年 4 月時点の調査に基づき、アフィリエイトモデル、IAB への支払い幅、悪用された脆弱性の一覧が拡充された [s2]。