ARTICLE / 安全
Medusa
报告编号: TIR-2026-0624-014 | 分类等级: TLP:AMBER | 发布日期: 2026年6月24日 | 情报来源: 多源交叉验证（OSINT + CISA/FBI AA25-071A + MITRE ATT&CK G1051 + Symantec/Carbon Black + Darktrace + Check Point + Armis Labs + Huntress + SecurityScorecard + Unit 42）
一、执行摘要
Medusa 是2021年6月首次被识别的勒索软件即服务（RaaS）组织，追踪代号为 Storm-1175（Microsoft）、Spearwing（Symantec）、G1051（MITRE ATT&CK）。该组织在2022年底至2023年初从封闭式运营转型为 RaaS 模式后，通过招募附属机构大幅扩展了攻击规模。截至2026年1月，已有超过 500 个组织成为 Medusa 的受害者，遍布全球 45 个以上国家和地区。
Medusa 的核心特征在于其三重勒索模式（数据加密 + 数据泄露威胁 + DDoS/客户联络施压）、对合法 RMM 工具的大规模滥用（SimpleHelp、AnyDesk、MeshAgent、ConnectWise），以及国家级行为者的介入——2025年末至2026年初，朝鲜 Lazarus 组织（Stonefly/Andariel 子组织）被发现使用 Medusa 勒索软件攻击美国医疗保健部门。2025年3月12日，CISA 和 FBI 联合发布专项安全通告 AA25-071A。
关键发现
| 维度 | 关键指标 |
|---|---|
| 组织规模 | 500+ 受害者，45+ 国家和地区 |
| 首要目标 | 美国、加拿大、澳大利亚、德国、意大利、英国 |
| 加密方式 | AES + RSA 混合加密；.MEDUSA 扩展名 |
| 首要入口 | IAB 购买（$100-$100万）、CVE 利用（ConnectWise/Fortinet/Exchange）、钓鱼 |
| 商业模式 | RaaS（核心控制谈判 + 附属执行攻击） |
| 关联组织 | Storm-1175、Spearwing、Frozen Spider、UNC7885、Lazarus（Stonefly/Andariel） |
| 谈判平台 | MedusaChat（TOR 门户） |
| 赎金范围 | $10万 - $1,500万，平均约 $26万 |
| 解密可能性 | 不存在（无公开解密工具） |
| 当前状态 | 活跃（2026年持续攻击，朝鲜 Lazarus 介入） |
威胁等级评估
| 评估维度 | 等级 | 说明 |
|---|---|---|
| 技术能力 | 🔴 极高 | 多平台变体（Windows/Linux/ESXi）、BYOVD、RMM 工具滥用 |
| 运营成熟度 | 🔴 极高 | RaaS 模式、MedusaChat 谈判平台、三重勒索 |
| 攻击规模 | 🔴 极高 | 500+ 受害者，45+ 国家，CISA/FBI 联合通告 |
| 目标针对性 | 🔴 极高 | 医疗、教育、金融、政府——无差别攻击 |
| 数据泄露风险 | 🔴 极高 | 三重勒索 + DDoS + 客户联络施压 |
二、威胁行为者画像
2.1 组织标识
| 属性 | 值 |
|---|---|
| 官方名称 | Medusa |
| 别名 | Storm-1175（Microsoft）、Spearwing（Symantec）、G1051（MITRE ATT&CK） |
| 组织类型 | RaaS（核心控制谈判 + 附属执行攻击） |
| 活跃周期 | 2021年6月 – 至今（RaaS 模式：2022年底至今） |
| 主要语言 | 英语（勒索信/谈判）、俄语（内部通信，RAMP 论坛） |
| 地理归属 | 俄语地区（高置信度）；CIS 目标排除规则 |
| 攻击目标 | 全球（美国为主要目标） |
| 动机 | 经济利益 |
2.2 组织演化时间线
三、归因分析
3.1 地理归属
| 证据类型 | 详情 | 置信度 |
|---|---|---|
| 语言分析 | 攻击脚本使用西里尔字母 | 高 |
| 论坛活动 | 在 RAMP（俄语暗网论坛）活跃 | 高 |
| 俚语特征 | 使用俄罗斯犯罪亚文化特有俚语 | 高 |
| 排除规则 | 不攻击 CIS（独联体）国家目标 | 高 |
| CISA/FBI 评估 | AA25-071A 归因于俄语地区行为者 | 高 |
3.2 关联组织网络
3.3 归属置信度评估
| 证据维度 | 指向 | 置信度 |
|---|---|---|
| 俄语内部沟通与论坛招募 | 俄语区运营者 | 高 |
| CIS 豁免策略 | 独联体地理规避 | 中-高 |
| 与 UNC7885/Frozen Spider 交叉 | 东欧犯罪网络 | 中 |
| AA25-071A 联合公告 | 执法多源确认 | 高 |
综合评估：Medusa 为高置信度俄语区组织，核心运营与附属网络分层清晰，Storm-1175 与 Spearwing/G1051 指向同一集群。
四、防御建议
4.1 检测要点
- MedusaChat 泄漏后的凭据滥用：2024.11 附属面板数据泄露导致大量入口凭据在暗网流转，关注异常登录
- IAB 活动：初始访问经纪人的扫描-转售链条，暴露面资产优先收敛
- DRION 攻击框架与勒索载荷的投放行为（EDR 规则覆盖其执行母版）
4.2 缓解与响应
- 备份不可变/离线双轨，重点防护 Hyper-V/卷影副本
- 针对医疗与教育行业开展钓鱼演练与 MFA 强化
五、总结
Medusa 是 RaaS “中型头部"的典型样本：运营纪律高（CIS 豁免、附属审核）、攻击工具持续自研迭代（Storm-1175 定制载荷、DRION 框架），2026 年初仍在 AA25-071A 联合公告中被列为活跃威胁。其面板数据泄露事件提醒防御方：勒索生态自身的信任链断裂，会反向放大所有受害者的暴露面——跟进这类黑料窗口期做凭据轮换，是低成本高收益的应急动作。
（数据来源：公开威胁情报多源交叉整理，含 CISA/FBI 联合公告、MITRE ATT&CK 及 Microsoft、Trend Micro、Symantec、CrowdStrike、Mandiant 等厂商公开研究）
本文面向授权安全研究与防御建设，未经授权对任何系统实施文中技术属违法行为。