Medusa Locker

MedusaLocker referido en algunos contextos como Medusa, aunque no debe confundirse con la operación más reciente que utiliza esa denominación, es uno de los operadores de ransomware más longevos del ecosistema actual, con actividad documentada desde el año 2021.

Opera bajo el modelo de Ransomware-as-a-Service (RaaS) con doble extorsión: cifra los sistemas de sus víctimas y amenaza con publicar los datos exfiltrados en su sitio de filtraciones accesible vía Tor si no se paga el rescate. Su nombre proviene de la extensión .medusalocker que se añade a los archivos cifrados.

Fiel al modelo de afiliación clásico, MedusaLocker proporciona a sus afiliados el malware, la infraestructura de negociación y el soporte operativo a cambio de un porcentaje de los rescates. El vector de acceso inicial predominante ha sido históricamente la explotación de servicios RDP expuestos a menudo mediante credenciales débiles o fuerza bruta, complementado con phishing y la explotación de vulnerabilidades en dispositivos perimetrales.

Una vez dentro, los afiliados despliegan herramientas como Mimikatz para el volcado de credenciales, PsExec para movimiento lateral y Advanced IP Scanner para reconocimiento de red. La evasión de defensas se apoya en utilidades legítimas como Process Hacker y, de forma más avanzada, en la herramienta AuKill, que implementa la técnica Bring Your Own Vulnerable Driver (BYOVD) abusando de un driver legítimo de Process Explorer de Microsoft para terminar procesos de EDR a nivel kernel.

El ransomware está desarrollado en C++ con variantes para Windows y, más recientemente Linux/ESXi. Emplea un esquema de cifrado híbrido que combina AES-256 para el cifrado de archivos con RSA-2048 para proteger la clave AES. Admite cifrado parcial y completo con procesamiento multihilo, y cuenta con exclusiones configurables para evitar dañar archivos críticos del sistema. El malware intenta eliminar las shadow copies mediante vssadmin y deshabilitar los servicios de Windows Defender para dificultar la recuperación. Los archivos cifrados reciben la extensión .medusalocker, aunque se han observado variantes con otras extensiones según el afiliado.

Un caso relevante fue el ataque en el año 2020 contra Hammersmith Medicines Research (Reino Unido), una organización implicada en ensayos clínicos durante la pandemia de COVID-19. El incidente provocó la exfiltración y posterior filtración de datos sensibles, incluyendo información de voluntarios y documentación clínica, lo que obligó a la suspensión temporal de operaciones.

En cuanto a su victimología, no presenta una especialización sectorial estricta, aunque ha mostrado preferencia por organizaciones sanitarias, educativas, manufactureras y de servicios financieros, con una distribución geográfica global que abarca Norteamérica, Europa, Oriente Medio y Asia-Pacífico. El grupo mantiene un blog en la Dark Web donde publica los datos de las víctimas que se niegan a negociar, aplicando una presión adicional mediante la publicación progresiva de muestras. MedusaLocker ha demostrado una longevidad inusual en un ecosistema donde los grupos tienden a desaparecer o rebautizarse tras pocos años de actividad. Todo esto gracias a un modelo de negocio estable, una infraestructura resiliente y la capacidad de sus afiliados para adaptar las TTPs a cada entorno comprometido.