قربانیان باج‌افزار مدوسا در صنایع مختلف
دامنه فعالیت باج‌افزار مدوسا تنها به سازمان‌های فعال در حوزه زیرساخت‌های حیاتی محدود نمی‌شود و سازمان‌هایی در بخش‌های پزشکی، آموزش، حقوق، بیمه، فناوری و تولید نیز هدف این عملیات قرار گرفته‌اند.
این آمار، به‌روزرسانی گزارش مشترکی است که در مارس 2025 منتشر شد. در آن گزارش، برآورد شده بود که عملیات این گروه باج‌افزاری بیش از 300 سازمان فعال در حوزه زیرساخت‌های حیاتی را تحت تأثیر قرار داده است. افزایش این رقم به بیش از 500 سازمان نشان می‌دهد دامنه فعالیت این گروه طی یک سال گذشته به شکل قابل‌توجهی گسترش یافته است.
توصیه‌های امنیتی
سه نهاد فدرال آمریکا به تیم‌های امنیت شبکه توصیه کرده‌اند برای مقابله با حملات باج‌افزار مدوسا، آسیب‌پذیری‌های امنیتی موجود در شبکه‌های خود را شناسایی و برطرف کنند. این اقدامات باید از سیستم‌عامل‌ها، نرم‌افزارها و فریم‌ور در برابر سوءاستفاده مهاجمان از آسیب‌پذیری‌های امنیتی جلوگیری کند.
تیم‌های امنیتی باید با تفکیک شبکه (Network Segmentation)، امکان حرکت جانبی (Lateral Movement) مهاجمان را پس از نفوذ اولیه محدود کنند. از سوی دیگر، توصیه شده است دسترسی منابع غیرقابل‌اعتماد به سرویس‌های راه دور فعال روی سیستم‌های داخلی مسدود شود تا مهاجمان نتوانند از این سرویس‌ها برای افزایش سطح دسترسی خود در شبکه استفاده کنند.
تغییر مدل فعالیت باج‌افزار مدوسا به RaaS
باج‌افزار مدوسا از ژانویه 2021 فعالیت خود را آغاز کرد اما فعالیت این گروه از سال 2023 به‌طور محسوسی افزایش یافت.
این گروه در همان سال وب‌سایت افشای اطلاعات خود را راه‌اندازی کرد و با تهدید به انتشار داده‌های سرقت‌شده، قربانیان را برای پرداخت باج تحت فشار قرار داد.
مدوسا در ابتدا به‌صورت مستقل فعالیت می‌کرد، اما بعدها مدل فعالیت خود را تغییر داد و به باج‌افزار به‌عنوان سرویس (Ransomware-as-a-Service – RaaS) روی آورد و مدل همکاری با همکاران عملیاتی (Affiliates) را در پیش گرفت. در این مدل، بخشی از فرآیند اجرای حملات به این همکاران عملیاتی واگذار می‌شود.
بر اساس هشدار منتشرشده، توسعه‌دهندگان مدوسا معمولاً واسطه‌های دسترسی اولیه (IABs) را از طریق انجمن‌ها و بازارهای جرایم سایبری جذب می‌کنند. این واسطه‌ها با فراهم کردن دسترسی اولیه به سازمان‌های بالقوه، زمینه ورود مهاجمان به شبکه را فراهم می‌کنند. توسعه‌دهندگان مدوسا برای جذب این همکاران، مبالغی بین 100 دلار تا یک میلیون دلار پیشنهاد می‌کنند و در برخی موارد، امکان همکاری انحصاری با این گروه را نیز به آن‌ها می‌دهند.
نامی مشترک برای تهدیدهای سایبری مختلف
«مدوسا» نامی مشترک میان چند خانواده بدافزاری و عملیات مجرمانه سایبری است. از جمله این تهدیدها می‌توان به یک بات‌نت مبتنی بر Mirai با قابلیت‌های باج‌افزاری و یک عملیات بدافزار اندرویدی به‌عنوان سرویس (Android Malware-as-a-Service – MaaS) اشاره کرد که در سال 2020 شناسایی شد و با نام TangleBot نیز ردیابی می‌شود.
همین تشابه اسمی باعث شده است گزارش‌های مربوط به باج‌افزار مدوسا گاهی با ابهام همراه شود و برخی منابع آن را با عملیات شناخته‌شده MedusaLocker اشتباه بگیرند، در حالی که این دو، عملیات‌های سایبری کاملاً متفاوتی هستند.
عملیات مجرمانه مدوسا در مارس 2023، پس از آنکه این گروه مدعی حمله به ناحیه مدارس دولتی مینیاپولیس (Minneapolis Public Schools – MPS) شد، مورد توجه رسانه‌ها قرار گرفت. این گروه پس از حمله، ویدئویی از داده‌های سرقت‌شده را منتشر کرد و با استفاده از آن، قربانی را برای پرداخت باج تحت فشار قرار داد.
