Ransomware Medusa já ultrapassou 500 vítimas e mira infraestrutura crítica
O ransomware Medusa já comprometeu mais de 500 organizações em diferentes países até abril de 2026, segundo uma atualização conjunta da Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA), do FBI e do Departamento de Saúde e Serviços Humanos (HHS). O alerta chama atenção para o avanço das operações contra infraestruturas críticas, com destaque para hospitais, órgãos de saúde pública e empresas responsáveis por serviços essenciais.
A nova avaliação amplia as informações divulgadas no primeiro aviso, publicado em março de 2025. O documento aponta que o Medusa adotou, desde 2023, o modelo de ransomware como serviço, conhecido pela sigla RaaS. Nesse formato, os operadores centrais mantêm a infraestrutura, desenvolvem ferramentas e coordenam a extorsão, enquanto afiliados executam invasões em troca de uma parcela dos pagamentos.
A estratégia utilizada combina duas formas de pressão. Primeiro, os criminosos copiam documentos e informações internas. Depois, bloqueiam servidores, estações de trabalho e outros sistemas por meio de criptografia. Caso a vítima não pague, os dados são ameaçados de publicação em um portal mantido pelo grupo na dark web. Essa abordagem, chamada de dupla extorsão, aumenta o impacto operacional e também o risco jurídico e reputacional para as organizações atingidas.
Como os invasores conseguem entrar
O acesso inicial costuma ser obtido por meio de corretores especializados, conhecidos como access brokers. Esses intermediários invadem ambientes corporativos e negociam o acesso com grupos de ransomware. De acordo com o alerta, o Medusa pode oferecer até US$ 1 milhão por acessos exclusivos e de alto valor estratégico.
Outra característica preocupante é a velocidade com que o grupo explora falhas recém-divulgadas. Em determinadas situações, vulnerabilidades são utilizadas menos de 24 horas após sua publicação, reduzindo drasticamente o tempo disponível para que as empresas testem e instalem correções.
Entre os problemas explorados estão a CVE-2024-1709, associada ao ScreenConnect, e a CVE-2023-48788, relacionada a uma injeção de SQL no Fortinet EMS. Sistemas expostos à internet, especialmente aqueles usados para acesso remoto, gerenciamento de redes ou suporte técnico, tornam-se alvos prioritários quando permanecem sem atualização.
Depois de obter uma porta de entrada, os criminosos procuram ampliar o controle sobre o ambiente. Para isso, usam técnicas conhecidas como “living off the land”, que aproveitam recursos já instalados no sistema, em vez de depender exclusivamente de malwares facilmente detectáveis.
Ferramentas legítimas, como Advanced IP Scanner e SoftPerfect Network Scanner, podem ser empregadas para mapear computadores, servidores e dispositivos conectados. A utilização de programas aparentemente normais ajuda a esconder a atividade maliciosa e dificulta a identificação por mecanismos tradicionais de segurança.
Em seguida, os invasores tentam obter credenciais privilegiadas, desativar ferramentas de proteção e se movimentar lateralmente pela rede. O objetivo é alcançar o maior número possível de sistemas antes de iniciar a extração de informações e a criptografia dos arquivos.
Pressão por meio de vazamentos
O grupo Medusa mantém uma página de exposição na dark web onde lista as organizações comprometidas. Cada vítima pode aparecer acompanhada de uma contagem regressiva para a divulgação do material roubado. A tática procura acelerar a tomada de decisão e aumentar a pressão sobre executivos, equipes jurídicas e gestores de tecnologia.
Em alguns casos, a vítima pode pagar US$ 10 mil em criptomoedas para postergar a publicação por apenas um dia. Esse mecanismo demonstra que a negociação não se limita ao resgate pela descriptografia. O tempo também é transformado em produto, criando uma fonte adicional de receita para os criminosos.
Mesmo quando uma organização decide negociar, o pagamento não garante que os arquivos serão apagados ou que os invasores deixarão de retornar. Por isso, a resposta deve priorizar contenção, investigação forense, restauração segura e comunicação coordenada com autoridades e partes afetadas.
Medidas para reduzir o risco
A aplicação rápida de atualizações de segurança é uma das principais barreiras contra o Medusa. As empresas devem manter inventários precisos de ativos, identificar equipamentos acessíveis pela internet e estabelecer prioridades para corrigir vulnerabilidades críticas.
A segmentação de redes também é fundamental. Ambientes administrativos, sistemas de produção, dispositivos médicos, servidores de backup e estações de usuários não devem permanecer em uma única zona de confiança. Quanto mais restrito for o tráfego entre segmentos, menor será a capacidade de um invasor se deslocar pela organização.
A autenticação multifator deve ser aplicada principalmente a contas administrativas, serviços de acesso remoto, VPNs e plataformas em nuvem. Sempre que possível, é recomendável utilizar métodos resistentes a phishing, pois códigos enviados por SMS ou soluções baseadas apenas em senhas podem ser capturados ou reutilizados.
Backups precisam estar isolados do ambiente principal. Cópias offline, imutáveis e protegidas contra exclusão por contas comprometidas oferecem uma alternativa mais confiável durante uma crise. Também é indispensável testar regularmente a restauração, já que um backup que nunca foi validado pode falhar justamente no momento mais crítico.
As equipes de segurança devem monitorar o uso incomum de ferramentas de administração remota, scanners de rede e utilitários nativos do sistema operacional. Atividades fora do padrão, especialmente durante a madrugada ou originadas de contas que normalmente não executam tarefas administrativas, merecem investigação imediata.
Outro cuidado importante é revisar privilégios. Contas antigas, usuários terceirizados e administradores sem necessidade operacional devem ser removidos ou ter suas permissões reduzidas. O princípio do menor privilégio limita o impacto de credenciais roubadas e dificulta a tomada completa do ambiente.
Planos de resposta a incidentes também precisam ser praticados antes de qualquer ataque. Simulações ajudam a definir responsabilidades, canais de comunicação, critérios para isolamento de sistemas e procedimentos para preservar evidências. Em setores de saúde e infraestrutura crítica, esse planejamento deve incluir alternativas para manter serviços essenciais funcionando manualmente ou em modo degradado.
A atualização do alerta mostra que o Medusa continua adaptando suas técnicas, parceiros e alvos. Mais do que instalar correções pontuais, as organizações precisam combinar gestão de vulnerabilidades, controle de identidades, segmentação, proteção de backups e monitoramento contínuo. A preparação antecipada pode reduzir o tempo de indisponibilidade, limitar o vazamento de dados e evitar que uma invasão se transforme em uma paralisação generalizada.