Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Medusa
El grupo de ransomware Medusa ha estado causando estragos desde finales de 2021, operando con un modelo de Ransomware como Servicio (RaaS). Estos actores usan la doble extorsión, lo que significa que no solo cifran tus datos, sino que primero los roban y amenazan con filtrarlos en su sitio de la dark web. Es un golpe doble diseñado para maximizar la presión.
Perfil del actor de amenazas
Medusa
País de origen
Se desconoce el país de origen exacto de Medusa. Como muchos grupos de ransomware, operan con un alto grado de anonimato, lo que hace que la atribución sea un hueso duro de roer.
Miembros
No hay información disponible públicamente sobre el tamaño del grupo de Medusa o los alias de sus miembros. Se sabe que reclutan corredores de acceso inicial (IAB) en foros cibercriminales para ingresar a las redes de las víctimas, ofreciendo pagos que van desde $100 hasta más de $1 millón.
Liderazgo
Actualmente se desconoce la estructura de liderazgo y los alias específicos de los desarrolladores principales de Medusa. Las negociaciones de rescate parecen estar controladas de forma centralizada por el grupo principal, incluso dentro de su modelo de RaaS basado en afiliados.
TTPs de Medusa
tácticas
Los objetivos principales de Medusa son la ganancia financiera mediante la extorsión y la interrupción de operaciones. Logran esto con un modelo de doble extorsión:
Exfiltración de datos: roban datos sensibles de las redes de las víctimas antes del cifrado.
Cifrado de datos: cifran archivos críticos, dejando inservibles los sistemas y servicios.
técnicas
Entonces, ¿cómo lo logran? A los actores de Medusa les encanta usar lo que ya está disponible, una técnica conocida como "living-off-the-land" (LotL). Esto les ayuda a pasar desapercibidos y evitar la detección.
Acceso inicial: a menudo logran entrar explotando vulnerabilidades sin parchear en aplicaciones de cara pública como Microsoft Exchange, ScreenConnect (CVE-2024-1709) y Fortinet (CVE-2023-48788). Las campañas de phishing también son un método habitual para robar credenciales.
Descubrimiento y movimiento lateral: una vez dentro, usan herramientas legítimas como Advanced IP Scanner y SoftPerfect Network Scanner para mapear la red. Se mueven por la red usando el protocolo de escritorio remoto (RDP) y herramientas legítimas de acceso remoto como AnyDesk, ConnectWise y SimpleHelp.
Procedimientos
El modo de operar de Medusa es bastante consistente, lo que podría significar que tienen un grupo pequeño y unido de afiliados o que dan un conjunto muy específico de instrucciones.
Robo de credenciales: usan herramientas como Mimikatz para extraer credenciales de la memoria (dumping de LSASS), lo que les da las llaves para moverse libremente por la red.
Exfiltración de datos: la herramienta preferida para sacar datos suele ser Rclone, un programa de línea de comandos para administrar archivos en almacenamiento en la cloud.
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Medusa ha estado incansablemente activa, con un aumento significativo de ataques observado a lo largo de 2024 y 2025. Si bien muchas víctimas no se nombran, el grupo ha listado públicamente cientos de organizaciones en su sitio de filtraciones.
Un ataque documentado en enero de 2025 tuvo como objetivo a una organización de salud de EE. UU., comprometiendo varios cientos de máquinas. Los atacantes usaron una combinación de SimpleHelp, Mesh Agent y AnyDesk para el acceso remoto y desplegaron PDQ Deploy para distribuir el ransomware. Este incidente destacó su uso constante de herramientas legítimas para orquestar un ataque generalizado, desde la etapa inicial hasta el cifrado final.
Aplicación de la ley y arrestos
Hasta ahora, no ha habido acciones importantes de las fuerzas del orden anunciadas públicamente, arrestos ni desmantelamientos de infraestructura dirigidos específicamente al grupo de ransomware Medusa. Sin embargo, agencias como el FBI y CISA monitorean activamente sus actividades y han emitido avisos conjuntos de ciberseguridad para ayudar a las organizaciones a defenderse de sus TTPs.
Cómo defenderte de Medusa
1
Parchea, parchea, parchea: a Medusa le encanta explotar vulnerabilidades conocidas. Mantén tus sistemas operativos, software (¡especialmente los de cara pública!) y firmware actualizados. Prioriza los parches para vulnerabilidades conocidas y explotadas.
2
Exige MFA: requiere autenticación multifactor para todo lo posible, especialmente para el acceso remoto, el correo web y las cuentas de sistemas críticos.
3
Segmenta tu red: controla el flujo de tráfico entre subredes para limitar la capacidad de un atacante de moverse lateralmente. Si logran entrar a una parte de tu red, no les des las llaves de todo el reino.
4
Restringe y monitorea las herramientas: deshabilita puertos innecesarios y herramientas de scripting como PowerShell donde no se necesiten. Monitorea el uso anormal de software legítimo como PsExec, RDP y otras herramientas de administración remota.
5
Respalda tus datos: mantén copias de seguridad fuera de línea, cifradas e inmutables. Prueba tu proceso de restauración con regularidad para asegurarte de poder recuperarte rápido si ocurre lo peor.
Las soluciones de Huntress ayudan a proteger a las organizaciones al monitorear endpoints, detectar intrusiones y mitigar amenazas con tecnología de nivel empresarial.
Referencias
