CISA, FBI e HHS hanno aggiornato il 18 agosto 2026 l'advisory AA25-071A su Medusa, un'operazione ransomware che ha superato le 500 vittime da giugno 2021 ad aprile 2026. Oltre 200 organizzazioni sono state aggiunte al conteggio nell'ultimo anno, con un'accelerazione particolare contro il settore sanitario e le infrastrutture critiche. Il dato che distingue Medusa da altri gruppi non è la sofisticazione degli exploit, ma la velocità con cui li weaponizza: entro 24 ore dalla divulgazione pubblica, e in alcuni casi con una settimana di anticipo.
- L'advisory CISA/FBI/HHS aggiornato il 18 agosto 2026 documenta oltre 500 vittime di Medusa da giugno 2021, con 200 nuove nel solo anno precedente.
- Il gruppo sfrutta vulnerabilità appena divulgate entro 24 ore, senza sviluppare zero-day propri; in alcuni casi ha usato exploit con anticipo di una settimana rispetto alla pubblicazione.
- Medusa opera come Ransomware-as-a-Service dal 2023, reclutando initial access broker con pagamenti da $100 a $1.000.000.
- Symantec ha rilevato che operatori del gruppo nord-coreano Lazarus/Stonefly hanno utilizzato Medusa, sebbene non emerga se tutte le vittime siano state colpite da attori di Pyongyang.
La velocità come strategia: perché la "patching gap" basta a Medusa
Medusa non sviluppa vulnerabilità proprie. Secondo l'advisory congiunto, "non c'è indicazione che gli operatori Medusa sviluppino zero-day o N-day, preferendo ottenere accesso anticipato a exploit da fonti sconosciute o sfruttare rapidamente exploit appena annunciati". Questa architettura di attacco ha un vantaggio operativo chiaro: trasferisce il costo della ricerca vulnerabilità ad altri e monetizza l'intervallo tra divulgazione e mitigazione.
Il meccanismo è misurabile. CISA documenta che Medusa weaponizza CVE entro 24 ore dalla pubblicazione. In alcuni casi, il gruppo ha operato con una settimana di vantaggio. L'ipotesi più accreditata è l'accesso a exploit pre-release attraverso broker o reti criminali, ma l'origine esatta resta non identificata. L'uso di Interactsh dynamic URLs per verificare il successo dello sfruttamento conferma un processo di validazione tecnica rapida e strutturata.
Il modello RaaS adottato dal 2023 amplifica questa capacità. Medusa recluta affiliate su forum criminali, offrendo $100 a $1.000.000 per l'accesso iniziale, con premium per l'esclusività. L'affiliate guadagna una quota del riscatto; Medusa gestisce la piattaforma di negoziazione e il leak site. Questa divisione del lavoro consente di scalare senza aumentare proporzionalmente il personale tecnico interno.
Cinque CVE critiche e il targeting del settore sanitario
Le vulnerabilità sfruttate documentate nell'advisory sono tutte di severità critica, con CVSS massimo. CVE-2024-1709 (ConnectWise ScreenConnect) ha punteggio 10.0 secondo NVD; CVE-2023-48788 (Fortinet EMS) è valutata 9.8; CVE-2025-10035 (Fortra GoAnywhere) ha CVSS 10.0; CVE-2026-1731 (BeyondTrust PRA) è classificata 9.8. Queste sono tecnologie di accesso remoto e gestione endpoint, coerenti con la preferenza di Medusa per strumenti RMM già presenti nella rete bersaglio o installati ex novo.
L'elenco completo degli strumenti RMM utilizzati per movimento laterale e persistenza include AnyDesk, Atera, ConnectWise, BeyondTrust, Splashtop, SimpleHelp, eHorus e N-able, secondo i dati FBI nel dossier CISA. La tecnica è nota: abusare piattaforme legittime già autorizzate dal firewall per eludere i controlli di rete. A ciò si aggiunge il credential dumping via comsvcs.dll su LSASS, PowerShell obfuscation, e l'uso di Rclone in cartelle escluse da Windows Defender.
Il settore Healthcare and Public Health è stato "frequentemente bersagliato", nelle parole dell'advisory. L'incidente più eclatante è l'attacco all'University of Mississippi Medical Center nell'aprile 2026, che ha causato l'outage dell'unico ospedale pediatrico dello Stato, unico centro trauma Level I e unico NICU Level IV. Dopo questo evento, Medusa ha smesso di aggiungere vittime al leak site. La fonte ipotizza un effetto deterrenza da parte delle forze dell'ordine, ma il motivo esatto non è confermato.
"Medusa actors leverage newly announced exploits within 24 hours"
— CISA/FBI/HHS, advisory AA25-071A
Cosa fare adesso
Le azioni prioritarie derivano direttamente dalle TTPs documentate nell'advisory e dall'analisi delle prove forensi FBI.
1. Contrarre il ciclo di patching a meno di 24 ore per le tecnologie di accesso remoto. Le CVE documentate colpiscono ScreenConnect, Fortinet EMS, GoAnywhere e BeyondTrust PRA: prodotti che gestiscono sessioni privilegiate e sono spesso esposti a Internet. L'automazione del patching o il virtual patching perimetrale sono necessari quando il vettore di attacco si attiva prima che il vendor rilasci la correzione.
2. Inventariare e controllare gli strumenti RMM presenti in rete. Medusa installa o abusa di AnyDesk, Atera, ConnectWise, BeyondTrust, Splashtop, SimpleHelp, eHorus e N-able. Ogni istanza non autorizzata o non inventory è un potenziale canale di movimento laterale. Le organizzazioni devono trattare i RMM come asset critici, con approvazione esplicita e monitoraggio delle installazioni.
3. Segmentare le reti con accesso remoto e limitare l'esposizione di servizi di gestione endpoint. Le vulnerabilità sfruttate da Medusa sono tipicamente accessibili via WAN. La restrizione dell'accesso a VPN con MFA phishing-resistant, e la segmentazione dei segmenti con dati sanitari o critici, riducono la superficie di attacco anche quando il patching non è immediato.
4. Implementare backup offline immutabili e testare la procedura di recovery. Medusa opera con modello double-extortion: cifratura ed esfiltrazione. La possibilità di ripristino senza dipendere dai decryptor del gruppo riduce la pressione negoziale. CISA sottolinea che non esiste verifica che i dati siano effettivamente cancellati dopo il pagamento.
La dimensione geopolitica: Lazarus, Stonefly e il funding dello spionaggio
Symantec, attraverso il Threat Hunter Team, ha "rilevato evidenza" che operatori del gruppo nord-coreano Lazarus/Stonefly hanno utilizzato il ransomware Medusa. L'intelligence include un attacco riuscito in Medio Oriente e un tentativo fallito contro un obiettivo sanitario statunitense. Symantec fornisce IOCs hash specifici per la correlazione.
Il dato introduce un elemento di complessità: il riscatto medio richiesto da Medusa era di circa $260.000 secondo Symantec, con pagamenti gestiti attraverso negoziazione individuale. Se attori statali nord-coreani partecipano al programma affiliate, i proventi potrebbero finanziare operazioni di spionaggio oltre al crimine finanziario. Tuttavia, Symantec specifica che "non è noto se tutte le vittime siano state colpite da operatori nord-coreani". Non emergono sovrapposizioni infrastrutturali che colleghino sistematicamente Medusa a Lazarus allo stato attuale.
Il ritmo dell'adversario e il limite delle difese tradizionali
L'aggiornamento CISA del 18 agosto 2026 disegna un profilo operativo che sfida l'organizzazione difensiva media. Medusa non compete sulla ricerca vulnerabilità, ma sulla reazione: un modello che externalizza il costo R&D e internalizza il profitto della velocità. Le 500 vittime in cinque anni, con 200 concentrate nell'ultimo anno, indicano che la transizione a RaaS ha funzionato come leva di scalabilità.
Il messaggio per i difensori non è che le patch non servano, ma che i cicli di vulnerability management disegnati su finestre di settimane sono incompatibili con un avversario che misura il proprio successo in ore. La questione non è tecnica soltanto: è di processo, di automatizzazione, di assumzione che il patching sarà sempre in ritardo rispetto alla weaponizzazione.
Il caso dell'ospedale pediatrico del Mississippi mostra dove conduce questa asimmetria. Quando l'unico centro di quel livello per uno Stato intero viene spento da un gruppo che non ha scoperto una singola vulnerabilità propria, il problema da risolvere non è nel codice. È nel tempo che intercorre tra la conoscenza del difetto e la sua rimozione effettiva.
Fonti
- https://therecord.media/more-than-200-medusa-ransomware-victims-in-last-year-cisa
- https://mallory.ai/stories/01a01613-ecfe-7a7a-aedb-780ab93bc378
- https://cyberscoop.com/medusa-ransomware-tactics-cisa-advisory/
- https://cybermagazine.com/news/how-medusa-ransomware-gang-attacked-500-critical-companies
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-071a
- https://www.security.com/threat-intelligence/lazarus-medusa-ransomware
- https://mallory.ai/intelligence
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.