Por qué Medusa Ransomware es una amenaza creciente para la infraestructura crítica
Medusa siempre fue algo más que un monstruo.
En la mitología antigua, su mirada convertía a los hombres en piedra. Durante el Renacimiento, fue un símbolo de belleza que se volvió mortal. Hoy en día, fue reclamada como una figura de transformación — apareciendo en la moda, la cultura pop y los símbolos de empoderamiento.
Hoy, volvió — no en canica ni en mitos, sino en malware. La operación de ransomware como servicio (RaaS) de Medusa, activa desde junio de 2021, está intensificando ahora los ataques contra infraestructuras críticas en todo el mundo. Los sectores objetivo son los sectores médico, educativo, jurídico, de seguros, tecnológico y manufacturero.
En los dos primeros meses de 2025, el número de ataques de ransomware de Medusa se duplicó respecto al mismo periodo del año pasado, un aumento brusco que indica que Medusa está acelerando, no desvanecer.
En el mito, mirar a Medusa significaba la muerte. En ciberseguridad, no verla puede amenazar la electricidad, el agua, el transporte, los sistemas financieros y la confianza pública — la infraestructura que mantiene el mundo en funcionamiento.
Una advertencia conjunta de CISA y el FBI
En febrero de 2024, CISA y el FBI emitieron un aviso conjunto: #StopRansomware: Ransomware Medusa.
Más de 300 organizaciones ya fueron víctimas, incluyendo hospitales, instituciones financieras, escuelas y servicios gubernamentales.
Las agencias aconsejaron estos pasos urgentes:
- Cerciorar de que los sistemas operativos, el software y el firmware estén parcheados y actualizados.
- Segmentar redes para restringir el movimiento lateral.
- Filtre el tráfico de red evitando que orígenes desconocidos o no confiables accedan a servicios remotos.
El ransomware es ahora un riesgo nacional
El ransomware no siempre fue tan peligroso. En 1989, el primer ataque de ransomware conocido — conocido como el Troyano del SIDA — se entregó en disquete y exigió 189 dólares por correo.
Hoy, según el Estudio Global de Costo del Ransomware de Illumio:
- El 25% de los sistemas críticos se caen durante un ataque, durante un promedio de 12 horas.
- Las demandas de rescate promedio superan los $ 1.2 millones.
- Incluso luego del pago, solo el 13% de las víctimas recuperan todos sus datos.
- La contención toma más de 130 horas (aproximadamente 11 días) y casi 18 personas.
El ransomware no es solo una amenaza cibernética. Es un desgaste de tiempo, dinero y resiliencia. Y cuando golpea infraestructuras críticas, las apuestas pueden causar ruina financiera, poner en peligro al público e incluso desestabilizar gobiernos.
Por qué la infraestructura crítica está tan expuesta
La infraestructura crítica es un imán para el ransomware por una razón importante: importa.
"La infraestructura crítica es esencial por naturaleza: si la eliminas, el efecto dominó es enorme", dice Trevor Dearing, director de soluciones de infraestructura crítica de Illumio. "La verdadera amenaza para los servicios críticos es cuando las operaciones se detienen, cuando los sistemas de electricidad, agua o transporte se desconectan. Ahí es cuando las cosas se ponen realmente peligrosas".
Desde las redes eléctricas hasta las tuberías, la columna vertebral de la sociedad a menudo funciona con tecnología obsoleta y sin parches, especialmente los sistemas ICS y SCADA heredados.
Michael Adjei, director de ingeniería de sistemas de Illumio para EMEA, está de acuerdo.
"Estos sistemas son difíciles de actualizar y fáciles de explotar para los atacantes", dice. "Eso los convierte en objetivos ideales para ransomware como Medusa".
Incluso a medida que la modernización se acelera, la seguridad a menudo se queda atrás en el mundo de la infraestructura crítica.
"Los sistemas de control cableados están siendo reemplazados por Ethernet y Wi-Fi sin considerar completamente las participaciones de seguridad", dice Dearing. "Y muchos fabricantes envían equipos con una seguridad predeterminada débil, y luego limitan lo que las organizaciones pueden hacer para fortalecerla".
Muchas organizaciones de infraestructura crítica son de propiedad pública o dependen de fondos nacionales. Esto significa adquisiciones lentas, supervisión compleja y cotizaciones limitadas. En otras palabras, es un objetivo masivo y poco defendido.
¿Qué tan grave podría ser un ataque a la infraestructura crítica?
En 2023, 11 de las 15 vulnerabilidades más comunes fueron explotadas como fallos de día cero, según un reporte conjunto de CISA y la NSA. La velocidad y la escala de la explotación muestran lo rápido que los atacantes se están moviendo para convertir las fallas en armas antes de que los defensores puedan parchearlas, especialmente en sistemas críticos. A medida que evolucionan las tácticas de ransomware, los atacantes pueden convertir vulnerabilidades menores en amenazas importantes, con el potencial de desestabilizar infraestructuras críticas e interrumpir servicios esenciales.
Ransomware creado para la era híbrida
Medusa no necesita vulnerabilidades de día cero ni exploits ruidosos. Se mueve de forma silenciosa y está diseñado para entornos híbridos — donde las aplicaciones en la nube pueden conectarse a centros de datos locales.
Medusa evita ser detectada usando herramientas ya dentro de tu red — conocidas como vivir de la tierra (LotL). En lugar de lanzar nuevo malware, explota programas y vulnerabilidades integrados para integrar con las operaciones normales.
Estos podrían incluir:
- PowerShell
- Instrumental de administración de Windows (WMI)
- Protocolo de escritorio remoto (RDP)
- ConnectWise ScreenConnect
- SSH (en sistemas Linux y Unix)
"Estas herramientas están permitidas, son confiables y ya tienen el acceso que los atacantes desean", dice Adjei. "Se trata menos de la herramienta y más de su privilegio y alcance".
El software de gestión remota como ScreenConnect o SolarWinds es especialmente atractivo porque viene preaprobado. Diseñado para conectar, monitorear y controlar a escala, se convierte en un multiplicador de fuerza en las manos equivocadas, lo que brinda a los atacantes un alcance inmediato en todos los sistemas.
Y cuando el ransomware se comporta como TI, puede que no levante alarmas.
Como dice Adjei: "El ransomware moderno no irrumpe por la puerta principal — se mezcla como un espía."
Movimiento lateral: cómo se propaga Medusa
Los atacantes aterrizan donde es fácil, no donde quieren estar. Luego se mueven silenciosamente a través de la red, sistema por sistema, hasta llegar a las joyas de la corona.
Existen dos tipos de movimiento lateral:
- Host-intrínseco: escalada de privilegios dentro del sistema (por ejemplo, svc-ndscans)
- Host-extrínseco: movimiento entre máquinas mediante RDP o WinRM
En un ataque típico de Medusa, ambos tipos trabajan juntos. Primero, obtienen el control dentro de un dispositivo. Luego, usan ese acceso para dispersar silenciosamente por toda la red.
Exfiltración de datos y doble extorsión
Medusa también emplea la doble extorsión: cifrar datos y exfiltrarlos, exigiendo un rescate por la recuperación y por la promesa de que los datos robados no se publicarán, venderán ni filtrarán en línea o en el sitio web oscuro.
En la etapa final, los atacantes localizan y roban datos confidenciales, enviándolos de vuelta a sus servidores de comando y control. Este tráfico de devolución de llamada se puede canalizar a través de puertos de comunicación comunes, empleando técnicas como registros de texto DNS o paquetes ICMP, métodos diseñados para pasar desapercibidos por las defensas tradicionales.
No te alejes de Medusa
Para obtener más información sobre el alcance, la escala y los riesgos de las amenazas de ransomware actuales:
- Mira nuestro reciente seminario sitio web, Ransomware por números
- Descargar el Estudio Global sobre el Costo del Ransomware
.webp)
