Ransomware Medusa: Mehr als 500 Opfer – Gesundheitswesen und kritische Infrastrukturen im Visier

CISA und FBI dokumentieren Zunahme der Angriffe

Die Affiliates der Ransomware Medusa hatten bis April 2026 mehr als 500 Opfer angegriffen. Diese Zahl geht aus der aktualisierten Warnung von CISA und FBI hervor, die ursprünglich im März 2025 veröffentlicht worden war.

Im Jahr 2025 hatten die US-Behörden rund 300 angegriffene Organisationen erfasst. Damit ist die Zahl um mehr als 200 Opfer gestiegen. Besonders stark vertreten sind Bereiche, die als kritische Infrastrukturen eingestuft werden.

Medusa konzentriert ihre Aktivitäten nicht auf einen einzelnen Sektor. Zu den Zielen gehören Gesundheitseinrichtungen, US-Kommunalverwaltungen und internationale Organisationen. Die Gruppe ist seit 2021 aktiv und verfolgt eine Strategie, die auf operativem und finanziellem Druck auf die Opfer beruht.

Es ist nicht bekannt, ob Medusa in den KEV-Katalog von CISA aufgenommen wurde. Auch ein Aufnahmedatum oder eine Frist zur Behebung der Schwachstelle sind in den verfügbaren Unterlagen nicht angegeben. Zudem fehlen CVE-Kennungen für die in der Warnung beschriebenen Exploits.

Angriff auf das Kinderkrankenhaus in Mississippi

Im April legte Medusa den Betrieb des University of Mississippi Medical Center lahm. Die Einrichtung gilt als einziges Kinderkrankenhaus Mississippis, als einziges Trauma-Zentrum der Stufe I im Bundesstaat und als einzige staatliche Einrichtung mit einer neonatologischen Intensivstation der Stufe IV.

Das Krankenhaus beherbergt außerdem das einzige staatliche Organtransplantationsprogramm. Ein Angriff auf eine Organisation mit diesem Profil kann daher nicht nur IT-Systeme beeinträchtigen, sondern auch die Bereitstellung essenzieller Gesundheitsleistungen gefährden.

Der Vorfall verdeutlicht das konkrete Risiko, das mit Medusas Fokus auf das Gesundheitswesen verbunden ist. Ein Eindringen kann Verwaltungssysteme blockieren, klinische Abläufe unterbrechen und die Versorgung von Notfällen, stationären Patienten sowie spezialisierten Eingriffen erschweren.

Die Gesamtzahl der Opfer und die Auswahl kritischer Ziele erhöhen die Bedeutung der Kampagne. Allerdings ist nicht bekannt, wie viele der mehr als 500 Organisationen ein Lösegeld gezahlt haben oder wie groß das insgesamt gestohlene Datenvolumen ist.

Exploits werden immer schneller eingesetzt

Die Warnung beschreibt eine besonders schnelle Übernahme neu veröffentlichter Exploits. Affiliates können eine gerade bekannt gewordene Schwachstelle bereits innerhalb von 24 Stunden nach ihrer Offenlegung ausnutzen.

In einigen Fällen sollen die Betreiber beobachtet worden sein, wie sie Exploits bis zu einer Woche vor der offiziellen Veröffentlichung der Schwachstelle einsetzten. Dies bedeutet jedoch nicht, dass Medusa eigenständig Zero-Day- oder N-Day-Schwachstellen entwickelt.

Nach Einschätzung von CISA und FBI ist es wahrscheinlicher, dass die Gruppe aus unbekannten Quellen vorab Zugang zu fortgeschrittenen Exploits erhält oder öffentlich verfügbare Tools besonders schnell einsetzt, bevor Organisationen die erforderlichen Patches installieren können.

Microsoft beschrieb dieselbe Dynamik in einem Bericht vom 6. April 2026 zu Ransomware-Aktivitäten von Storm-1175 im Auftrag von Medusa. Ziel waren aus dem Internet erreichbare und nicht aktualisierte Systeme.

Das Zeitfenster für Angriffe kann sich daher auf wenige Stunden verkürzen. Ein nicht gepatchtes, aus dem Internet erreichbares Websystem kann zum Einstiegspunkt werden, bevor die Sicherheitsteams die neue Schwachstelle vollständig bewertet haben.

Mehrstufige Organisation und doppelter finanzieller Druck

Medusa entstand als geschlossene Ransomware-Gruppe, wechselte 2023 jedoch zu einem Affiliate-Modell. Die Entwickler stellen die Ransomware bereit und vergeben je nach Erfahrung und wirtschaftlichen Ergebnissen der Betreiber unterschiedliche Zugriffsebenen.

Bei weniger erfahrenen Affiliates kann auch die Verhandlung mit dem Opfer weiterhin von den Entwicklern kontrolliert werden. Die Rekrutierung erfolgt in kriminellen Foren. Berichten zufolge bot die Gruppe Initial-Access-Brokern bis zu 1 Million US-Dollar, wenn diese exklusiv mit ihr zusammenarbeiten.

Vor dem Angriff auf eine Organisation führen die Betreiber häufig Aufklärungsmaßnahmen durch. Die Lösegeldforderung kann sich an den öffentlich ausgewiesenen Umsätzen des Opfers orientieren. Finanzinformationen werden damit zu einem Instrument, um die Höhe des Lösegelds zu steigern.

Die Verhandlungen können Rabatte für eine schnelle Zahlung vorsehen. Umgekehrt kann die Verlängerung der Frist zur Veröffentlichung der Daten um nur einen Tag 10.000 US-Dollar kosten.

Wenn ein Opfer zahlt, entfernt Medusa die Informationen von der eigenen Leak-Seite. CISA und FBI weisen jedoch darauf hin, dass nicht überprüft werden kann, ob die Daten tatsächlich gelöscht wurden. Eine Zahlung garantiert daher weder die Vernichtung der Kopien noch den Schutz vor weiterer missbräuchlicher Nutzung.

Die Warnung erwähnt außerdem einen Vorfall, der möglicherweise auf eine dreifache Erpressung oder einen internen Konflikt hindeutet. Ein Betreiber soll behauptet haben, der Verhandler habe das bereits gezahlte Lösegeld unterschlagen, und anschließend die Hälfte der Summe gefordert haben, um den „echten Decryptor“ zu übergeben.

Der Fall könnte auf eine doppelte Lösegeldforderung mit einer erneuten Drohung oder auf eine schlechte Koordination zwischen den Affiliates hindeuten. Welche Interpretation zutrifft, ist nicht bekannt.

Legitime Tools zur Verschleierung der Kompromittierung

Nach dem Erstzugang stehlen die Betreiber Zugangsdaten und greifen auf legitime Software für Monitoring und Remote-Administration zurück. Der Einsatz von Tools, die normalerweise in Unternehmensumgebungen vorhanden sind, kann die Unterscheidung zwischen bösartigen Aktivitäten und Handlungen von Administratoren erschweren.

Das FBI beobachtete den Einsatz der folgenden Produkte:

• AnyDesk;
• Atera;
• ConnectWise;
• eHorus;
• N-able;
• BeyondTrust;
• SimpleHelp;
• Splashtop.

Die verwendeten Versionen wurden nicht bekannt gegeben. Organisationen sollten daher nicht nur die Existenz dieser Programme prüfen, sondern auch feststellen, wer sie installiert hat, welche Konten sie verwenden und zu welchen Systemen sie Verbindungen herstellen.

Laut SafeBreach verkürzen die mit Medusa verbundenen Akteure die Dauer der Intrusion drastisch. Zwischen dem Erstzugang und der Datenexfiltration können wenige Stunden liegen statt mehrerer Tage.

Dadurch sinkt die verfügbare Zeit, um den Angriff vor der Verschlüsselung oder Veröffentlichung der Informationen zu erkennen. Der Diebstahl von Zugangsdaten, Remote-Zugriff und die schnelle Übertragung von Daten sollten als mögliche zusammenhängende Angriffskette analysiert werden, nicht als voneinander unabhängige Ereignisse.

Operative Prioritäten für Organisationen

Die wichtigste Maßnahme besteht darin, internetexponierte Systeme schnell zu patchen, insbesondere nach der Bekanntgabe einer neuen Schwachstelle. Im Fall von Medusa kann ein verzögertes Update innerhalb von 24 Stunden ein ausnutzbares Zeitfenster offenlassen.

Sicherheitsteams sollten außerdem:

• ungewöhnliche Zugriffe sowie Anzeichen für den Diebstahl oder die Wiederverwendung von Zugangsdaten prüfen;
• nicht autorisierte Installationen der von den Behörden genannten Remote-Access-Software identifizieren;
• unerwartete Verbindungen von oder zu Tools für die Remote-Administration überprüfen;
• aus dem Internet erreichbare Systeme ohne verfügbare Sicherheitsupdates untersuchen;
• nach einer schnellen Abfolge von Erstzugang, lateraler Bewegung und Datenexfiltration suchen;
• relevante Ereignisse für forensische Analysen und die Erkennung einer bereits erfolgten Kompromittierung sichern.

Seit April wurden der Leak-Seite keine neuen Opfer hinzugefügt. Die Verlangsamung könnte auf eine erhöhte Ermittlungsaktivität nach dem Angriff auf das University of Mississippi Medical Center zurückzuführen sein. Sie erlaubt jedoch nicht die Schlussfolgerung, dass Medusas Aktivitäten beendet sind.