La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), la Oficina Federal de Investigación (FBI) y el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) han publicado conjuntamente un aviso de seguridad actualizado advirtiendo que los actores de amenazas del ransomware Medusa están infiltrándose activamente en entornos empresariales, desactivando herramientas de seguridad, exfiltrando archivos sensibles y cifrando redes enteras.

La alerta actualizada (AA25-071A) refleja hallazgos forenses exhaustivos hasta abril de 2026, confirmando que Medusa ha comprometido a más de 500 organizaciones en sectores de infraestructura crítica, incluyendo salud, educación, legal, seguros, manufactura y tecnología.

CISA advierte que el ransomware Medusa roba datos

Observado por primera vez en junio de 2021 como una operación de malware cerrada, Medusa cambió hacia un modelo industrializado de Ransomware-as-a-Service (RaaS) alrededor de 2023. Bajo esta estructura, los desarrolladores principales alquilan los payloads de ransomware a afiliados reclutados a cambio de un porcentaje de los ingresos por extorsión.

El sindicato opera un esquema de doble extorsión en varias etapas: exfiltran propiedad intelectual y registros de pacientes, luego cifran los sistemas objetivo y publican los datos robados en un portal de filtraciones dedicado en la dark web.

El HHS se unió como coautor del boletín actualizado debido al implacable objetivo del grupo hacia hospitales y organizaciones de salud pública, que continúan sufriendo un impacto operativo desproporcionado debido a las campañas de ransomware de Medusa.

Los afiliados obtienen acceso inicial colaborando con Brókers de Acceso Inicial (IAB) del mercado negro, quienes ofrecen pagos que van desde los 100 dólares hasta 1 millón de dólares por credenciales de acceso corporativas válidas.

Los actores de amenazas también aprovechan vulnerabilidades de software conocidas, incluyendo la omisión de autenticación de ScreenConnect (CVE-2024-1709), la inyección SQL de Fortinet FortiClient EMS (CVE-2023-48788), fallos de deserialización de Fortra GoAnywhere MFT y una vulnerabilidad de ejecución remota de código de BeyondTrust recientemente identificada, rastreada como CVE-2026-1731.

Como se detalla en el boletín de seguridad conjunto publicado por CISA y sus socios federales, los operadores de Medusa suelen convertir vulnerabilidades públicas en armas dentro de las veinticuatro horas posteriores a su divulgación, y ocasionalmente antes de la disponibilidad del parche público, lo que hace que las ventanas de parcheo aceleradas sean esenciales para defender los endpoints críticos.

Una vez dentro del perímetro de una red, los operadores dependen en gran medida de técnicas de "living-off-the-land" utilizando binarios nativos de Windows como PowerShell, cmd.exe y Windows Management Instrumentation (WMI) para mapear la infraestructura interna sin activar alertas de procesos anómalos.

Los adversarios despliegan controladores de kernel vulnerables o robados para terminar el software de detección y respuesta de endpoints (EDR), volcar credenciales almacenadas en caché de la memoria LSASS y abusar de plataformas legítimas de monitoreo y gestión remota (RMM) como AnyDesk, Atera y SimpleHelp.

Estas técnicas sigilosas reflejan tendencias más amplias de la industria al desactivar la detección de endpoints antes de lanzar las rutinas de cifrado.

Los actores de amenazas también despliegan herramientas como Mimikatz, CrackMapExec y Rclone para recolectar secretos de red y preparar la exfiltración masiva de archivos, basándose en la conversión de utilidades administrativas en armas para ocultar comandos maliciosos detrás del mantenimiento rutinario del sistema.

El payload de cifrado para Windows, compilado como gaze.exe, detiene sistemáticamente los servicios de seguridad, elimina las copias instantáneas de volumen (volume shadow copies) y termina los sistemas de gestión de bases de datos antes de cifrar los archivos con la extensión .medusa utilizando algoritmos AES-256.

Normalmente, se les otorga a las víctimas 48 horas para iniciar negociaciones a través de chats en vivo basados en Tor o canales del mensajero Tox. El sindicato frecuentemente ofrece descuentos temporales por pagos rápidos mientras amenaza con subastar los conjuntos de datos corporativos robados si se pierden los plazos.

Las agencias federales instan a los operadores de infraestructura crítica a priorizar el parcheo de vulnerabilidades inmediatamente, segmentar las subredes internas para restringir el movimiento lateral y limitar estrictamente los servicios de gestión remota entrantes.

Tú y tu equipo de seguridad deberían implementar una autenticación multifactor resistente al phishing, mantener copias de seguridad inmutables y fuera de línea, y auditar la telemetría de los endpoints en busca de instalaciones de RMM no autorizadas y ejecuciones anómalas de herramientas administrativas.

IoCs (Indicadores de Compromiso)