Medusa

2021.06    Medusa 勒索软件首次被识别
           封闭式运营，所有攻击由同一团队执行
    ↓
2022.Q4    转型为 RaaS 模式
           开始招募附属机构
           攻击规模大幅扩展
    ↓
2023       利用 CVE-2023-48788（Fortinet EMS）
           CVE-2021-34473（Exchange ProxyShell）
           大规模攻击活动展开
    ↓
2024       利用 CVE-2024-1709（ConnectWise ScreenConnect）
           CVE-2025-10035（Fortra GoAnywhere MFT）
           500+ 受害者，45+ 国家
    ↓
2025.03.12 CISA/FBI 联合发布 AA25-071A 安全通告
           成为 Top 10 最活跃勒索组织
    ↓
2025.Q4    朝鲜 Lazarus（Stonefly/Andariel）介入
           使用 Medusa 攻击美国医疗保健部门
    ↓
2026       500+ 受害者
           RMM 工具滥用趋势加剧（SimpleHelp C2 持续20天+）
           2026 世界杯安全威胁上升

┌──────────────────────────────────────────────────────┐
│           Medusa 关联组织网络                          │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ Medusa 核心      │ Storm-1175 / G1051              │
│  │（RaaS 提供者）    │ 控制谈判、开发加密工具           │
│  └────────┬────────┘                                  │
│           │                                            │
│           ├──→ 附属机构                                │
│           │    ├── IAB 网络（$100-$100万/次）          │
│           │    └── 暗网招募（RAMP 论坛）               │
│           │                                            │
│           ├──→ Frozen Spider（大型猎物狩猎组织）       │
│           │    关联合作                                 │
│           │                                            │
│           ├──→ UNC7885（网络犯罪组织）                 │
│           │    合作关系                                 │
│           │                                            │
│           └──→ Lazarus / Stonefly / Andariel（朝鲜）   │
│                2025年末起使用 Medusa 载荷              │
│                针对美国医疗保健部门                     │
│                                                        │
└──────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────┐
│         Medusa 三重勒索模型                       │
├─────────────────────────────────────────────────┤
│                                                   │
│  第一层：数据加密                                 │
│  ├── AES + RSA 混合加密                           │
│  ├── .MEDUSA 扩展名                               │
│  ├── 终止安全服务和备份进程                        │
│  └── 删除卷影副本                                 │
│                                                   │
│  第二层：数据泄露威胁                              │
│  ├── Rclone 外传至 Medusa C2                      │
│  ├── MedusaChat 谈判平台                          │
│  └── 威胁公开泄露被盗数据                         │
│                                                   │
│  第三层：额外施压                                  │
│  ├── 对受害者公共基础设施发动 DDoS 攻击           │
│  ├── 联系受害者客户施加商业压力                    │
│  └── 媒体公开羞辱                                 │
│                                                   │
└─────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│              Medusa RaaS 架构                         │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌──────────────────┐                                │
│  │ 核心开发团队       │ 开发加密工具                   │
│  │（Storm-1175）      │ 集中控制赎金谈判               │
│  │ 控制谈判           │ 管理 MedusaChat 平台           │
│  └────────┬─────────┘                                │
│           │                                            │
│           ├──→ 附属机构                                │
│           │    ├── IAB 网络（$100-$100万/次）          │
│           │    └── RAMP 论坛招募                       │
│           │                                            │
│           ├──→ Frozen Spider（合作）                   │
│           │                                            │
│           ├──→ UNC7885（合作）                         │
│           │                                            │
│           └──→ Lazarus / Stonefly（朝鲜，使用载荷）    │
│                                                        │
└──────────────────────────────────────────────────────┘

受害者支付 → 加密货币钱包 → 多层混币/跨链转换 → 场外交易（OTC） → 法币提取

IAB 购买 / 漏洞利用 / 钓鱼 / 被盗 RDP 凭证
    ↓
SimpleHelp / AnyDesk / MeshAgent（RMM 持久化）
    ↓
恶意计划任务 svhost（每15分钟重新执行）
    ↓
Mimikatz / LSASS 转储（凭证窃取）
    ↓
Advanced IP Scanner / SoftPerfect（网络发现）
    ↓
RDP / VNC / PsExec / PDQ Deploy（横向移动）
    ↓
Rclone + RoboCopy（数据外传）
    ↓
gaze.exe（终止安全服务 + AES+RSA 加密 + 勒索信）
    ↓
三重勒索：加密 + 数据泄露 + DDoS/客户联络

title: Medusa Ransomware - gaze.exe Payload Execution
id: a1b2c3d4-e5f6-7890-abcd-123456789abc
status: experimental
description: 检测 Medusa 勒索软件核心载荷 gaze.exe 的执行
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\gaze.exe'
  condition: selection
level: critical
tags:
  - attack.impact
  - attack.t1486

title: Medusa Ransomware - Malicious Scheduled Task svhost
id: b2c3d4e5-f6a7-8901-bcde-234567890bcd
status: experimental
description: 检测 Medusa 勒索软件创建名为 svhost 的恶意计划任务
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'schtasks'
      - 'svhost'
  condition: selection
level: critical
tags:
  - attack.persistence
  - attack.t1053

title: Medusa Ransomware - BYOVD Vulnerable Driver Loading
id: c3d4e5f6-a7b8-9012-cdef-345678901cde
status: experimental
description: 检测 Medusa 勒索软件使用 BYOVD 技术加载易受攻击驱动程序终止安全进程
logsource:
  category: driver_load
  product: windows
detection:
  selection:
    ImageLoaded|contains:
      - 'dbutil'
      - 'rtcore64'
      - 'gdrv'
    CommandLine|contains:
      - 'KillAV'
  condition: selection
level: critical
tags:
  - attack.defense_evasion
  - attack.t1068

rule Medusa_Ransomware {
    meta:
        description = "检测 Medusa 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-24"
        reference = "CISA/FBI AA25-071A / MITRE ATT&CK G1051"
    strings:
        $s1 = "!!!READ_ME_MEDUSA!!!.txt" ascii
        $s2 = ".MEDUSA" ascii
        $s3 = "gaze.exe" ascii
        $s4 = "medusaf6afzwflcz6v4zcjkusy5fuplatbm42zn7h34oawz445z7yd.onion" ascii
        $s5 = "svhost" ascii
        $s6 = "wmic shadowcopy delete" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}