MedusaLocker ha afectado a empresas en LATAM, incluyendo Argentina y Chile. Operando desde finales del 2019, su evolución ha permitido llegar al punto donde se ofrece como Ransomware as a service (RaaS) lo que le permite a quienes carecen de habilidad o tiempo para desarrollar su propia variante de ransomware operar de forma rápida y asequible, multiplicando exponencialmente la cantidad de actores maliciosos y campañas que se puedan producir.
En la campaña #StopRansomware de la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA), enfocada en disminuir los ataques de este tipo de malware a través de información clave de sus tácticas, técnicas y procesos, informó en agosto de 2022 datos importantes de MedusaLocker que se mantienen en el tiempo.
Se destaca entre estos datos que sus tácticas de entrada son a través de campañas de phishing y spam por correo electrónico, así como spear-phishing (método de phishing dirigido a una víctima en particular), adjuntando directamente el ransomware al correo electrónico. Así también, que realiza una entrada mediante las vulnerabilidades de configuraciones del Protocolo de Escritorio Remoto (RDP).
Su principal táctica de ejecución es mediante un archivo por lotes (conocido como archivo Batch, de extensión .BAT que se utiliza para ejecutar instrucciones en Windows) para ejecutar un script de Powershell que le permite a la máquina infectada detectar dispositivos y redes conectados a través del Protocolo de mensajes de control de Internet (ICMP, el conocido Ping) y detecte el almacenamiento compartido a través del Bloque de mensajes del servidor (protocolo SMB).
Para evitar ser víctimas de Medusa Locker u otros tipos de ransomware, es importante que las organizaciones tomen medidas básicas de seguridad cibernética, entre las diversas medidas que pueden tomar se encuentran:
En síntesis, la protección contra el ransomware requiere de un enfoque integral, es la suma de medidas técnicas, de seguridad y educativas, las que mantendran a la organización atenta y prevenida frente a la posibilidad de ataque.
Para nuestros clientes con Servicios Administrados, Widefense realiza las siguientes acciones frente a ataques que se pueden realizar a través de extensiones web:
Por otra parte, la principal acción que se pueden tomar frente a este tipo de ataques es capacitar a los colaboradores con programas online de educación para que sean parte activa de la protección de la organización.
A continuación se presentan algunos de los datos hash asociados a este ataque para que puedan ser cargados a las distintas plataformas de seguridad de las organizaciones:
https://www.tecnovan.com/2023/03/14/medusalocker-nuevo-ransomware-con-victimas-en-america-latina/
https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-181a
https://blog.cyble.com/2023/03/15/unmasking-medusalocker-ransomware/
https://www.securesoftcorp.com/en/web/guest/w/novedades/ss_alerta176