概要
米CISA、FBI、保健福祉省(HHS)は8月18日、Medusaランサムウェアによる重要インフラへの攻撃に関する共同勧告を発表した。2021年6月の初確認以降、医療・防衛産業基盤・重要製造業・政府サービス・IT・金融など複数分野で500以上の組織が被害を受けているという。被害組織数は2025年2月時点の300以上から、2026年4月時点で500以上へと急速に拡大しており、特にヘルスケア業界が頻繁に標的となっている。
攻撃手法と侵入後の活動
Medusaの攻撃者は、ScreenConnect、Fortinet EMS、Fortra GoAnywhere、BeyondTrustなどの既知の脆弱性を主な侵入経路としている。セキュリティ専門家のNick Tausek氏は「新しい脆弱性が発見されても、多くのセキュリティチームが露出評価を完了する前に、アクティブな侵害に発展する可能性がある」と警告しており、実際に攻撃者は脆弱性の公開から24時間以内、場合によっては公開前の段階でエクスプロイトを悪用しているという。独自のゼロデイ開発の兆候は確認されていない。
侵入後は、PowerShellによるステルス技術やコマンド履歴の削除で痕跡を消去しつつ、Mimikatzを用いた認証情報の窃取、AnyDeskやSimpleHelpといった正規のリモートアクセスツールを悪用して横展開するほか、Nezha(サーバー監視ツール)やGSocket(ファイアウォール回避ツール)といった公開ツールをコマンド&コントロールや痕跡隠蔽に利用する。データ窃取にはBandizipでのアーカイブ作成とRcloneによる外部流出が用いられる。Andrew Costis氏は、Active Directoryのファイルが盗取されるケースについて「盗取されたデータはKerberosチケットの偽造に使用される可能性がある」と特に懸念を示している。最終的な暗号化にはgaze.exeというプロセスが使われ、ファイルは「.medusa」拡張子で保護されるとともに、バックアップやセキュリティサービスが停止される。
運営モデルと脅迫戦術
Medusaは2021年の登場当初は単独の閉鎖的な運用だったが、2023年初頭にRanwomware-as-a-Service(RaaS)のアフィリエイトモデルへ移行し、同年に開設したリークサイト「Medusa Blog」を契機に活動を加速させた。運営グループは、100ドルから100万ドルという幅広い報酬でサイバー犯罪フォーラムから初期アクセスブローカーを募集している。2023年3月にはミネアポリス公立学区への攻撃で盗んだデータを公開し、能力を誇示したことでも注目を集めた。
脅迫にあたっては二重恐喝方式を採用し、身代金要求から48時間以内の対応期限を設定。支払いを拒否した被害者にはリークサイト上でカウントダウンタイマー付きのデータ公開予告を行うほか、1万ドルの暗号資産支払いで公開を1日延長する仕組みも用意されている。支払いが行われない場合は電話やメールでの直接接触も行うという。
推奨される対策
FBI・CISA・HHSは関係組織に対し、脅威ハンティングの実施、C2(コマンド&コントロール)ソフトウェアの削除、認証情報のローテーション、既知の脆弱性(CVE)への迅速なパッチ適用を推奨している。加えて、インターネットに接続するシステムの脆弱性対策、ネットワークセグメンテーションの実施、リモートアクセスサービスへの信頼できない外部トラフィックの遮断、CISAが提供する排除戦略ツールの活用も呼びかけている。身代金の支払いは推奨されておらず、被害に遭った組織はFBIのインターネット犯罪苦情センター(IC3)やCISAへの報告が求められる。既知脆弱性の悪用速度が加速する中、防御態勢の早期強化が急務となっている。