باج افزار Medusa؛ هشدار تازه CISA پس از بیش از 500 قربانی

باج افزار Medusa از سال 2021 فعال است و نام آن مدت هاست برای تیم های امنیتی آشناست.. CISA و FBI نیز در مارس 2025 هشدار مشترکی درباره این روش عملیاتی جدید این بدافزار منتشر کرده بودند، اما اطلاعاتی که حالا از تحقیقات جدید FBI به دست آمده، تصویر بسیار کامل تری از نحوه نفوذ مهاجمان، حرکت آنها در شبکه و دامنه قربانیان نشان می دهد.

همین یافته های تازه باعث شد CISA، FBI و وزارت بهداشت و خدمات انسانی آمریکا در 18 اوت 2026 نسخه قبلی هشدار امنیتی خود را به روز کنند و اطلاعات حاصل از تحقیقات انجام شده تا آوریل امسال را به آن بیفزایند. بر اساس نسخه جدید، توسعه دهندگان و همکاران Medusa تاکنون بیش از 500 قربانی در بخش هایی مانند سلامت، آموزش، حقوق، بیمه، فناوری و تولید داشته اند و سازمان های حوزه سلامت نیز به دفعات در میان قربانیان این عملیات دیده شده اند.

افزایش شمار قربانیان البته تنها دلیل اهمیت گزارش تازه نیست. بخش ارزشمندتر آن به اطلاعاتی مربوط می شود که نشان می دهد یک حمله Medusa چگونه از دسترسی اولیه به شبکه آغاز می شود و بعد، مرحله به مرحله، به سرقت Credential، گسترش دسترسی، خروج اطلاعات و در نهایت رمزگذاری سیستم ها می رسد. CyberScoop نیز در بررسی مستقل خود از این به روز رسانی گزارش کرده که شمار قربانیان ثبت شده از بیش از 300 مورد در هشدار سال گذشته به بیش از 500 مورد رسیده و تحقیقات جدید جزئیات بیشتری از روش های دسترسی و فعالیت مهاجمان ارائه کرده است.

Medusa در ابتدای فعالیت خود به شکل یک عملیات بسته اداره می شد؛ یعنی توسعه باج افزار و اجرای حملات عمدتا در اختیار همان مجموعه قرار داشت. از اوایل 2023، این گروه به مدل Ransomware-as-a-Service یا RaaS روی آورد و امکان استفاده از باج افزار و زیرساخت خود را در اختیار Affiliateها قرار داد. در چنین مدلی، افرادی خارج از تیم اصلی می توانند نفوذ را انجام دهند و بخشی از درآمد حاصل از اخاذی را با گردانندگان سرویس تقسیم کنند. Medusa در کنار رمزگذاری فایل ها از اخاذی دوگانه نیز استفاده می کند؛ یعنی اطلاعات قربانی را پیش از رمزگذاری از شبکه خارج می کند و تهدید به انتشار این داده ها را به اهرم دیگری برای وادارکردن سازمان به پرداخت باج تبدیل می کند.

یکی از مهم ترین تغییرات گزارش؛ سرعت استفاده از آسیب پذیری های تازه

اطلاعات تازه FBI نشان می دهد Medusa برای ورود به شبکه فقط به Phishing و سرقت Credential متکی نیست و از واسطه هایی موسوم به Initial Access Broker نیز برای خرید دسترسی اولیه به سازمان ها استفاده می کند. در کنار این روش، بهره برداری از نرم افزارهایی که اصلاحیه امنیتی آنها نصب نشده، یکی دیگر از مسیرهای مهم نفوذ است و در تحقیقات انجام شده، آسیب پذیری هایی در محصولاتی مانند ConnectWise ScreenConnect، Fortinet EMS، Fortra GoAnywhere و BeyondTrust در حملات این گروه مشاهده شده اند.

نکته ای که این بخش از گزارش را برای مدیران شبکه و امنیت مهم تر می کند، سرعتی است که مهاجمان در استفاده از برخی آسیب پذیری ها نشان داده اند. CISA، FBI و HHS می گویند Medusa در مواردی Exploit مربوط به آسیب پذیری های تازه اعلام شده را ظرف 24 ساعت وارد عملیات خود کرده و حتی نمونه هایی دیده شده که بهره برداری تا حدود یک هفته پیش از انتشار عمومی اطلاعات آسیب پذیری آغاز شده است.

این بخش از گزارش ممکن است در نگاه اول این تصور را ایجاد کند که Medusa خود به کشف یا توسعه Zero-day مشغول است، اما نهادهای منتشرکننده هشدار چنین ادعایی ندارند. برعکس، در گزارش تاکید شده که شواهدی از توسعه Zero-day یا N-day توسط خود این گروه وجود ندارد و احتمال بیشتری دارد که مهاجمان از منابع دیگر زودتر به Exploit دسترسی پیدا کنند یا بلافاصله پس از انتشار عمومی یک ضعف، پیش از آنکه سازمان ها فرصت کافی برای نصب اصلاحیه پیدا کنند، آن را وارد زنجیره حمله کنند.

برای سازمان ها، اهمیت این رفتار به چرخه Patch Management برمی گردد. اگر همه آسیب پذیری ها صرفا در یک برنامه ثابت ماهانه بررسی شوند، ممکن است ضعف هایی که روی سیستم های Internet-facing قرار دارند و در عمل مورد بهره برداری قرار گرفته اند، مدت زیادی بدون اصلاح باقی بمانند. به همین دلیل CISA در توصیه های خود نیز تاکید می کند که Patch کردن آسیب پذیری های شناخته شده، به ویژه مواردی که در سامانه های متصل به اینترنت مورد بهره برداری قرار گرفته اند، باید در اولویت قرار گیرد.

ابزارهای معمول مدیران شبکه چگونه در حمله استفاده می شوند؟

پس از ورود به شبکه، رفتار Medusa بخش دیگری از مسئله را آشکار می کند که برای مدیران زیرساخت اهمیت زیادی دارد. مهاجم برای همه مراحل حمله به ابزارهای ناشناخته یا بدافزارهای اختصاصی متکی نیست و در بسیاری از موارد از همان نرم افزارها و قابلیت هایی استفاده می کند که ممکن است به شکل کاملا قانونی در محیط سازمان وجود داشته باشند.

FBI در تحقیقات خود استفاده Medusa از مجموعه ای از ابزارهای Remote Monitoring and Management یا RMM مانند AnyDesk، ConnectWise، BeyondTrust، SimpleHelp و Splashtop را مشاهده کرده است. ابزار RMM ذاتا مخرب نیست و تیم های IT از چنین نرم افزارهایی برای مدیریت و پشتیبانی از راه دور سیستم ها استفاده می کنند؛ خطر زمانی شکل می گیرد که مهاجم به این کانال دسترسی پیدا کند و همان قابلیتی را که برای مدیریت قانونی سیستم ها طراحی شده، برای حفظ دسترسی یا حرکت در شبکه به کار بگیرد. نکته جالب تر اینکه مهاجمان گاهی ابزار Remote Access خود را متناسب با نرم افزاری انتخاب کرده اند که از قبل در محیط قربانی وجود داشته است.

رفتار مشابهی درباره ابزارهای داخلی Windows نیز دیده شده است. PowerShell، Command Prompt، WMI، RDP و PsExec در فعالیت های Medusa برای شناسایی سیستم ها، اجرای دستور یا حرکت میان Hostها مورد استفاده قرار گرفته اند. این رویکرد در امنیت معمولا با مفهوم Living off the Land شناخته می شود؛ یعنی مهاجم به جای واردکردن ابزار جدید برای هر مرحله، تا جای ممکن از قابلیت ها و برنامه هایی استفاده می کند که از قبل روی سیستم وجود دارند و فعالیت آنها در نگاه اول می تواند مشروع به نظر برسد.

در نتیجه، مشاهده PowerShell یا RDP روی یک سرور به تنهایی نشانه حمله نیست و مسدودکردن کورکورانه این ابزارها نیز همیشه راه حل مناسبی محسوب نمی شود. تیم امنیت باید Context رفتار را ببیند: چه Accountی از ابزار استفاده کرده، اتصال از کدام Host آغاز شده، مقصد آن چه بوده، فعالیت در چه زمانی اتفاق افتاده و آیا با الگوی معمول مدیریت شبکه همخوانی دارد یا خیر. ارزش Logging، EDR و Network Monitoring نیز دقیقا در همین جا مشخص می شود؛ جایی که ابزار به ظاهر عادی باید از رفتار غیرعادی تفکیک شود. CISA در توصیه های خود نیز بر ثبت و بررسی ترافیک شبکه، تشخیص Lateral Movement و محدودکردن دسترسی مستقیم منابع ناشناس به سرویس های Remote داخلی تاکید کرده است.

وقتی Medusa به Credential و Active Directory می رسد

دسترسی اولیه برای مهاجمان فقط نقطه ورود است و اطلاعات جدید نشان می دهد Medusa پس از ایجاد جای پا در شبکه تلاش می کند Credentialهای باارزش تری به دست آورد تا دامنه دسترسی خود را گسترش دهد. در تحقیقات FBI، دسترسی به اطلاعات موجود در حافظه LSASS از جمله روش های مورد استفاده برای سرقت Credential بوده است. LSASS یکی از اجزای مهم Windows در فرایند Authentication است و دسترسی مهاجم به اطلاعات حساس موجود در حافظه آن می تواند راه را برای تصاحب Accountهای دیگر و حرکت گسترده تر در شبکه باز کند.

در برخی حملات، Medusa از Volume Shadow Copy نیز برای دستیابی به فایل ntds.dit و Registry Hiveهای حساس استفاده کرده است. ntds.dit پایگاه داده اصلی Active Directory است و اطلاعات مربوط به حساب های Domain را در خود نگه می دارد؛ بنابراین سرقت این فایل همراه با داده های لازم می تواند پیامدهایی بسیار فراتر از آلوده شدن یک کامپیوتر داشته باشد. گزارش CISA توضیح می دهد که اطلاعات به دست آمده از این فایل ها حتی می تواند برای ساخت Kerberos Ticket جعلی و در نتیجه به خطر انداختن کل Domain مورد استفاده قرار گیرد.

عمق نفوذ در بعضی از پرونده های بررسی شده از سرقت Credential هم فراتر رفته است. FBI مشاهده کرده که مهاجمان تنظیمات Default Domain Policy در Active Directory را تغییر داده اند تا سیاست های اعمال شده توسط خودشان بر Group Policyهای محدودکننده دیگر غلبه کند. در چنین شرایطی، مهاجم دیگر صرفا روی یک Endpoint حضور ندارد و توانسته به یکی از لایه های مدیریتی مرکزی شبکه دسترسی پیدا کند؛ همان زیرساختی که مدیران سازمان برای اعمال سیاست روی تعداد زیادی از سیستم ها استفاده می کنند.

این بخش از زنجیره حمله یک نکته مهم را درباره Incident Response روشن می کند: نصب Patch با پاکسازی نفوذ یکسان نیست. اگر یک سیستم پیش از نصب اصلاحیه مورد سوء استفاده قرار گرفته باشد و مهاجم در این فاصله Credential، Account یا Persistence دیگری ایجاد کرده باشد، بستن آسیب پذیری اولیه فقط همان مسیر ورود را مسدود می کند و لزوما حضور مهاجم را از شبکه از بین نمی برد. همین مفهوم در خبر آسیب پذیری روز صفر Metabase هوش سپید نیز می تواند به عنوان نمونه مرتبط برای مطالعه بیشتر به خواننده معرفی شود.

رمزگذاری زمانی آغاز می شود که بخش زیادی از حمله انجام شده است

گزارش تازه Medusa نشان می دهد سرقت و آماده سازی اطلاعات پیش از شروع رمزگذاری انجام می شود. در تحقیقات FBI، استفاده از Bandizip برای ساخت Archive و Rclone برای انتقال اطلاعات به زیرساخت مهاجمان مشاهده شده و در برخی موارد حتی نام فایل های مرتبط با Rclone تغییر داده شده است تا تشخیص آنها دشوارتر شود.

بعد از آنکه مهاجم دسترسی لازم را در شبکه به دست آورد، ابزارهای قانونی مدیریت و Deployment نیز می توانند به بخشی از مرحله نهایی حمله تبدیل شوند. در پرونده های بررسی شده، PsExec، PDQ Inventory/Deploy و BigFix برای انتقال یا اجرای Encryptor روی سیستم های مختلف دیده شده اند. این موضوع بار دیگر نشان می دهد که مرز میان ابزار قانونی و فعالیت مخرب را نمی توان فقط با نام Process تعیین کرد و رفتار، Account اجراکننده و مسیر استفاده از ابزار اهمیت بیشتری دارد.

Encryptor ویندوز Medusa که در گزارش با نام gaze.exe ثبت شده، پیش از رمزگذاری می تواند سرویس های مرتبط با Backup، امنیت، Database، ارتباطات، File Sharing و وب را متوقف کند، Shadow Copyها را حذف کند و سپس فایل ها را رمزگذاری کند. در برخی محیط ها خاموش کردن و رمزگذاری ماشین های مجازی نیز مشاهده شده است.

از این زاویه، مشاهده فایل های رمزگذاری شده را نمی توان شروع Incident دانست؛ در بسیاری از حملات، این مرحله زمانی اتفاق می افتد که مهاجم پیش از آن شبکه را شناسایی کرده، Credential جمع کرده، در محیط حرکت کرده و احتمالا بخشی از اطلاعات را نیز خارج کرده است. به همین دلیل سازمانی که فقط روی بازیابی Backup تمرکز کند، ممکن است بخش مهم تری از مسئله یعنی دامنه واقعی نفوذ و باقی ماندن دسترسی مهاجم را نادیده بگیرد.

سازمان ها در برابر این الگوی حمله چه کاری می توانند انجام دهند؟

راهنمای تازه CISA، FBI و HHS میان پیشگیری و پاسخ به حادثه تفاوت روشنی قائل شده است. برای کاهش احتمال نفوذ، سازمان ها باید Patch آسیب پذیری های شناخته شده را متناسب با میزان ریسک در اولویت قرار دهند، برای دسترسی های حساس از MFA مقاوم در برابر Phishing استفاده کنند، شبکه را برای محدودکردن Lateral Movement بخش بندی کنند و دسترسی Remote را تا جای ممکن از طریق VPN یا Jump Host کنترل کنند. نگهداری Backupهای جدا، امن و در صورت امکان Immutable نیز بخشی از همین توصیه هاست.

اما اگر نشانه ای از نفوذ مشاهده شده باشد، مسیر کار متفاوت است. CISA توصیه می کند ابتدا Hostهای درگیر شناسایی و ایزوله شوند و سپس Threat Hunting برای مشخص شدن دامنه نفوذ، Accountهای Compromised و Timeline فعالیت انجام شود. در نسخه تازه گزارش حتی بررسی Logهای باقی مانده از ابزارهایی مانند SimpleHelp و RDP و همچنین NetFlowهایی که افزایش غیرمعمول ترافیک از Hostهای معمولا کم ترافیک را نشان می دهند، به طور مشخص پیشنهاد شده است.

پس از جمع آوری شواهد کافی، می توان مرحله Containment و Eviction را با دید دقیق تری اجرا کرد؛ از حذف ابزارهای Command-and-Control و محدودکردن Remote Access گرفته تا تعویض Credentialهای حساس، Patch کردن آسیب پذیری اولیه و حذف Persistence باقی مانده روی سیستم ورود. خود CISA نیز تاکید می کند که اجرای اقدامات پاکسازی باید بعد از جمع آوری داده کافی برای درک نفوذ آغاز شود، زیرا پاک کردن عجولانه سیستم ها می تواند بخشی از شواهد مورد نیاز برای Incident Response را از بین ببرد.

گزارش جدید Medusa در نهایت بیش از آنکه فقط درباره یک خانواده باج افزار باشد، نمونه ای روشن از شکل امروزی بسیاری از حملات سازمانی است. مهاجم ممکن است با یک آسیب پذیری Patch نشده یا Credential معتبر وارد شود، از ابزارهای معمول تیم IT برای حرکت در شبکه استفاده کند و مدت ها پیش از آنکه فایل ها رمزگذاری شوند به دارایی های مهم و Active Directory برسد. برای تیم دفاعی، همین فاصله میان ورود اولیه و مرحله نهایی حمله ارزشمندترین فرصت برای Detection و مهار Incident است؛ فرصتی که بدون Patch Management سریع، Logging مناسب و شناخت رفتار عادی شبکه به سادگی از دست می رود.