Ransomware Medusa atinge mais de 500 organizações de infraestrutura crítica, alertam autoridades dos EUA

O grupo cibercriminoso por trás do ransomware Medusa atingiu mais de 500 organizações de infraestrutura crítica até abril de 2026.

O dado consta em um alerta conjunto emitido pelo FBI, pela Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos (CISA) e pelo Departamento de Saúde e Serviços Humanos (HHS).

O levantamento, publicado originalmente em março e atualizado nesta terça-feira (18), aponta uma expansão expressiva das operações da quadrilha em setores como saúde, educação, tecnologia, manufatura, área jurídica e seguros.

Detectado pela primeira vez em junho de 2021, o Medusa operava em formato restrito, no qual a equipe de criadores desenvolvia a ferramenta e executava todas as invasões.

No início de 2023, os criminosos migraram para o modelo de “franquia” (conhecido no meio técnico como ransomware como serviço ou RaaS).

Nesse formato, os desenvolvedores alugam o código malicioso para parceiros e terceiros executarem os ataques, com divisão dos valores obtidos em resgates.

Segundo o relatório, o grupo atua de forma oportunista: a quadrilha varre a internet atrás de qualquer sistema desatualizado e não escolhe alvos por perfil institucional , embora o setor de saúde tenha se tornado um dos mais afetados.

Os criminosos demonstraram agilidade extrema e chegam a utilizar brechas de segurança em menos de 24 horas após a publicação de alertas oficiais pelas empresas de software.

Em determinados casos, as invasões ocorreram até uma semana antes da divulgação pública oficial das vulnerabilidades.

As agências norte-americanas pontuaram que “não há indicação de que os atores do Medusa desenvolvam suas próprias vulnerabilidades, preferindo obter acesso antecipado a brechas a partir de fontes desconhecidas ou aproveitar com rapidez falhas recém-anunciadas antes que as vítimas consigam aplicar correções”.

Camuflagem e movimentação interna Os invasores garantem o acesso inicial por meio de falhas técnicas ou envio de e-mails fraudulentos (phishing).

Uma vez dentro da rede corporativa, o grupo recorre a ferramentas legítimas de administração e programas comuns de suporte remoto para mascarar a invasão e passar despercebido.

Ao mesclar os ataques com a rotina normal do setor de tecnologia da empresa, os criminosos desativam antivírus, apagam o histórico de comandos e roubam credenciais e permissões no sistema Active Directory .

Em posse dos arquivos, eles conseguem criar credenciais falsas de autenticação e transitar por toda a estrutura interna sem acionar alarmes de segurança.