Alerta atualizado amplia dimensão das vítimas
A Cybersecurity and Infrastructure Security Agency (CISA) e o FBI atualizaram uma recomendação sobre o ransomware Medusa, publicada inicialmente em março de 2025. De acordo com as agências, os operadores do grupo haviam atingido mais de 500 vítimas até abril de 2026.
A CISA havia informado anteriormente 300 vítimas em 2025, muitas delas em setores de infraestrutura crítica. O alerta atualizado aponta atenção especial do grupo ao segmento de saúde.
Em abril, o Medusa interrompeu as operações do University of Mississippi Medical Center. A organização reúne o único hospital infantil, centro de trauma de nível I, unidade neonatal de nível IV e programa de transplante de órgãos do estado do Mississippi.
Velocidade na exploração eleva pressão sobre correções
Segundo o aviso, operadores do Medusa exploram vulnerabilidades recém-anunciadas em até 24 horas. As agências também relataram observações de uso de exploits até uma semana antes da divulgação pública de uma vulnerabilidade.
O documento afirma não haver indicação de que o grupo desenvolva suas próprias vulnerabilidades zero-day ou n-day. Em vez disso, os operadores obteriam acesso avançado a exploits de fontes não identificadas ou aproveitariam rapidamente falhas divulgadas antes que potenciais vítimas consigam aplicar correções.
Para a gestão empresarial, o alerta sustenta uma recomendação editorial direta: processos de identificação, priorização e aplicação de patches precisam considerar que a janela entre a divulgação de uma falha e sua exploração pode ser muito curta.
Modelo de afiliados combina pressão financeira e ferramentas legítimas
O Medusa deixou de atuar como um grupo fechado e adotou um modelo de afiliados em 2023. Conforme CISA e FBI, negociações de resgate podem permanecer sob controle central dos desenvolvedores para afiliados mais novos ou menos experientes.
As agências dizem que o grupo costuma oferecer valores de resgate menores a vítimas que pagam rapidamente e pesquisa empresas antes dos ataques, usando receitas divulgadas publicamente para definir cobranças. Também há oferta recorrente de US$ 10 mil por um dia adicional antes da publicação de dados roubados.
O FBI informou o uso de softwares legítimos de acesso e monitoramento remoto, incluindo AnyDesk, Atera, ConnectWise, eHorus, N-able, BeyondTrust, SimpleHelp e Splashtop. CISA e FBI disponibilizaram orientações técnicas para apoiar a investigação de ataques associados ao Medusa.
O que líderes podem priorizar
Como recomendação editorial, empresas devem tratar a aplicação de correções como parte de uma rotina de resposta acelerada a vulnerabilidades divulgadas, especialmente em ativos expostos e sistemas que concentram informações sensíveis.
Também convém revisar o uso de ferramentas de acesso remoto legítimas, mantendo visibilidade sobre sua instalação e utilização. A presença desses softwares, isoladamente, não caracteriza um incidente, mas o alerta mostra que eles podem ser empregados por operadores do Medusa para evitar detecção.
Planos de resposta a incidentes devem contemplar a investigação de roubo de credenciais, exfiltração de dados e extorsão. O FBI descreveu um caso em que uma vítima, após pagar, foi contatada por outro operador que solicitou parte do valor novamente em troca do suposto descriptografador verdadeiro.