Hoạt động tống tiền của phần mềm độc hại Medusa gia tăng đột biến

Phần mềm tống tiền Medusa được điều hành dưới dạng dịch vụ bởi một nhóm tin tặc có tên Spearwing đang không ngừng nỗ lực tìm đường vào thiết bị cá nhân của các nạn nhân.

Trong tháng 1 và tháng 2 năm nay, các nhà nghiên cứu tại công ty an ninh mạng Symantec tuyên bố rằng, họ đã quan sát thấy số vụ tấn công liên quan đến phần mềm tống tiền Medusa nhiều gấp đôi so với hai tháng đầu năm 2024.Trong khi đó, từ năm 2023 đến năm 2024, các vụ việc đã tăng 42%.

Hoạt động của Medusa gia tăng có thể là do những phần mềm tống tiền nổi tiếng khác như Noberus và LockBit hiện đã bị các cơ quan thực thi pháp luật kiểm soát. Tuy nhiên, hoạt động của giới tội phạm mạng không bao giờ dừng lại như trường hợp của nhóm tin tặc Spearwing, một phần mềm độc hại này bị tiêu diệt thì chúng lại ngay lập tức phát triển một phần mềm khác.

Theo Symantec, Medusa và các chi nhánh của nó thực hiện các cuộc tấn công tống tiền kép, đánh cắp dữ liệu của nạn nhân trước khi mã hóa mạng để tăng áp lực buộc nạn nhân phải trả tiền chuộc. Kể từ lần đầu tiên bị phát hiện vào đầu năm 2023, nhóm này đã thu thập được hàng trăm nạn nhân. Medusa đã liệt kê gần 400 nạn nhân trên trang web rò rỉ dữ liệu của mình trong thời gian đó, mặc dù Symantec tuyên bố con số thực tế có thể cao hơn nhiều.

Số tiền chuộc mà những kẻ tấn công sử dụng phần mềm tống tiền Medusa yêu cầu dao động từ 100.000 đến 15 triệu đô la. Thông thường, nạn nhân được cho mười ngày để thanh toán và bị tính phí 10.000 đô la mỗi ngày nếu họ muốn gia hạn thời hạn. Theo Symantec, các chiến thuật của nhóm phần mềm tống tiền vẫn nhất quán kể từ năm 2023.

Nhóm này và các chi nhánh của nó chủ yếu truy cập vào mạng của nạn nhân bằng cách khai thác các lỗ hổng chưa được vá trong các ứng dụng công khai, đặc biệt là Microsoft Exchange Server.

Sau khi truy cập được, những kẻ tấn công thường sử dụng phần mềm quản lý và giám sát từ xa như SimpleHelp, PDQ Deploy hoặc AnyDesk để tiếp tục truy cập và tải xuống trình điều khiển. Gần đây, nhóm này đã bị phát hiện khi sử dụng Mesh Agent.

Những kẻ tấn công thường triển khai trình điều khiển dễ bị tấn công đã ký vào mạng mục tiêu, sau đó chúng khai thác để vô hiệu hóa phần mềm bảo mật và tránh bị phát hiện.