Medusaランサムウェアの最新戦術（TTPs）｜ブログ(ほぼこもセキュリティニュース)

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、連邦捜査局（FBI）、および MS-ISAC は、広範な被害をもたらしている「Medusa」ランサムウェアに関する共同アドバイザリ（AA25-071A）の更新情報を公開し、改めて脅威動向と対策を呼びかけています。
Medusa は 2021 年より活動が確認されている RaaS（Ransomware as a Service）グループであり、医療、製造、教育、IT など多岐にわたる重要インフラ・企業を標的に累計 500 件以上の被害を出しています。
現在のMedusaが用いる主要な攻撃手法（TTPs）の特徴をみてみましょう。

RaaS 形態と中央集権的コントロールの併用
Medusa はアフィリエイト（実行犯）がネットワーク侵入や暗号化の実行を担う RaaS 構造を採用しています。
それと並行して、身代金の交渉やリークサイトの運用管理といった根幹の意思決定は開発者グループが一元管理しており、組織的かつ効率的な身代金回収活動を行っています。
公開脆弱性の即時悪用と Initial Access Broker（IAB）の利用
パッチが未適用となっているインターネット公開機器の脆弱性（例: ConnectWise ScreenConnect や Fortinet EMS 等）の公表後、極めて短期間で攻撃コードを悪用します。
また、暗号化実行犯は IAB から購入した侵入済みアクセス権やフィッシング、RDP への不当アクセスなどを組み合わせて初期侵入を果たします。
正規ツールを悪用した潜伏・側面的移動（LotL / RMM 悪用）
侵入後はセキュリティ製品による検知を回避するため、Windows 標準ツール（PowerShell, CertUtil 等）や正規の遠隔管理ツール（SimpleHelp, AnyDesk, Atera 等）を大量に悪用します（Living-off-the-Land 手法）。
正常な管理者通信に紛れ込むことで、長時間気づかれずにネットワーク内を走査・側面的移動（Lateral Movement）します。
二重・三重の強固な脅迫手法（Double / Triple Extortion）
ファイルの暗号化に先立ち、機密データを外部へ強奪します。身代金の支払いに応じない場合は、専用リークサイト「Medusa Blog」にてカウントダウン付きでデータを公開・売却する「二重脅迫」を行います。
事例によっては、電話やメールによる直接的な追撃や DDoS 攻撃、支払後の再脅迫を組み合わせるケースも確認されています。
バックアップ機能の破壊と自動化
ファイル暗号化スクリプトの実行直前に、vssadmin.exe delete shadows /all などのコマンドを実行し、Windows のボリュームシャドウコピー（ローカルバックアップ）を自動的に全削除します。
これにより、被害組織が自力で暗号化から復旧する手段を完全に遮断します。

Medusa ランサムウェアの主な脅威は、未修正の脆弱性と特権アクセスの管理不足、そして標準ツールの悪用（LotL）を巧みに突く点にあります。
組織における防衛には、公開WebサーバやVPN機器への迅速なパッチ適用、不要なRDPの無効化および多要素認証（MFA）の必須化、不審な RMM ツールや標準コマンドの起動監視（EDRの活用）が不可欠です。
あわせて、ネットワークから物理的・論理的に隔離されたオフラインバックアップ（または変更不可ストレージ）を維持することが、被害を最小化するための極めて有効な切り札となります。