CISA: Medusa ransomware hit over 500 critical infrastructure orgs
Mis à jour :
Montée en puissance du ransomware Medusa
Depuis juin 2021, le groupe cybercriminel Medusa a compromis plus de 500 organisations américaines spécialisées dans les infrastructures critiques, incluant les secteurs de la santé, de la défense, de l’industrie, de la technologie et des services financiers. Ce chiffre marque une progression significative par rapport aux 300 victimes recensées en mars 2025.
Points clés :
- Évolution : Initialement fermé, le groupe opère désormais selon un modèle de Ransomware-as-a-Service (RaaS), recrutant des courtiers d’accès initial (Initial Access Brokers) pour cibler les victimes.
- Mode opératoire : Les attaquants utilisent la double extorsion, menaçant de divulguer des données volées via un site dédié (“Medusa Blog”) pour contraindre au paiement des rançons.
- Confusion possible : L’opération est fréquemment confondue avec le ransomware MedusaLocker ou le malware Android TangleBot, bien qu’il s’agisse d’entités distinctes.
Vulnérabilités : Bien que l’article souligne l’exploitation de failles dans les systèmes d’exploitation, les logiciels et les micrologiciels (firmwares), aucune CVE spécifique n’est mentionnée dans le rapport conjoint de la CISA, du FBI et du HHS. La menace repose principalement sur l’obtention d’identifiants valides pour infiltrer les réseaux.
Recommandations :
- Correction des failles : Appliquer rigoureusement les correctifs de sécurité sur l’ensemble du parc informatique (OS, logiciels et équipements réseau).
- Segmentation réseau : Isoler les segments critiques pour limiter les mouvements latéraux des attaquants en cas de compromission initiale.
- Contrôle des accès : Bloquer strictement les accès aux services distants depuis des origines non fiables ou non autorisées.