Medusa-Ransomware: CISA warnt vor 24-Stunden-Ausnutzung von CVEs
Veröffentlicht am: 18.08.2026 um 22:52 Uhr | Redaktion boerse-global.de
In einem gemeinsamen Sicherheits-Advisory (AA25-071A) warnen die US-Cybersicherheitsbehörde CISA, das FBI und das US-Gesundheitsministerium (HHS) vor den zunehmenden Aktivitäten der Medusa-Ransomware-Operateure.
Die Akteure stehen im Verdacht, gezielt ungeschützte Systeme auszunutzen, um sensible Daten zu entwenden, Sicherheitsprogramme zu deaktivieren und ganze Netzwerke zu verschlüsseln. Besonders Organisationen im Gesundheitswesen rücken dabei vermehrt in das Visier der Gruppe.
Schnelle Ausnutzung von Sicherheitslücken
Ein zentrales Merkmal der Medusa-Gruppe ist die hohe Geschwindigkeit, mit der sie Schwachstellen in der IT-Infrastruktur identifiziert und ausnutzt. Berichten zufolge werden bekannte Schwachstellen (CVEs) in Lösungen wie ScreenConnect, Fortinet oder BeyondTrust oft innerhalb von nur 24 Stunden nach deren Bekanntgabe für Angriffe verwendet. In einigen Fällen konnten die Täter Lücken bereits bis zu einer Woche vor der offiziellen Offenlegung für den Erstzugriff instrumentalisieren.
Um in fremde Netzwerke einzudringen, kooperiert die Gruppe zudem mit spezialisierten Zugangsvermittlern. Für die Bereitstellung dieser Zugänge fließen laut den Ermittlungsbehörden Zahlungen in einer Größenordnung zwischen 100.000 und 1 Million US-Dollar. Microsoft, das die Gruppe unter der Bezeichnung „Storm-1175“ verfolgt, konnte die Aktivitäten der Akteure bis zu ihrer ersten Identifizierung im Jahr 2021 zurückverfolgen.
Geschäftsmodell und Erpressungsstrategien
Medusa agiert nach einem Ransomware-as-a-Service-Modell (RaaS). Dabei setzen die Hintermänner auf Doppel- und teilweise sogar Triple-Erpressungstaktiken, um die Zahlungsmoral ihrer Opfer zu erhöhen. Nach der Infiltration wird eine Payload mit der Bezeichnung „gaze.exe“ ausgeführt, welche die Daten mittels AES-256-Algorithmus verschlüsselt und die Dateiendung „.medusa“ anhängt.
Angesichts immer komplexerer Erpressungstaktiken müssen Unternehmen ihre IT-Sicherheit heute proaktiver denn je gestalten, um Sicherheitslücken effektiv zu schließen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Gratis-E-Book: Cyber Security Bedrohungen abwenden
Die Höhe der Lösegeldforderungen wird individuell auf Basis des Umsatzes des betroffenen Unternehmens festgelegt. Während die Forderungen in der Spitze bis zu 15 Millionen US-Dollar erreichen können, liegt der Durchschnittswert bei etwa 260.000 US-Dollar.
Die Gruppe gewährt nach eigenen Angaben Rabatte bei einer schnellen Abwicklung, erhebt jedoch gleichzeitig eine tägliche Verzugsgebühr von 10.000 US-Dollar. Verhandlungen zwischen den Opfern und den Erpressern finden üblicherweise innerhalb von 48 Stunden über die anonymisierten Dienste Tor oder Tox statt.
Opferbilanz und technisches Vorgehen
Die Reichweite der Gruppe hat in den vergangenen Monaten deutlich zugenommen. Zwischen März 2025 und April 2026 stieg die Zahl der registrierten Opfer von 300 auf über 500 an.
Wer die Sicherheit des eigenen Unternehmens nachhaltig stärken möchte, findet in aktuellen Experten-Analysen wertvolle Ansätze zur Abwehr von Cyberangriffen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre Firma ohne teure Investitionen schützen. Jetzt kostenloses Cyber-Security-E-Book sichern
Interessanterweise wurden seit einem signifikanten Angriff auf das University of Mississippi Medical Center (UMMC) im April keine neuen Opfer mehr öffentlich bekannt. Das aktuelle Advisory der US-Behörden basiert auf Untersuchungen der Taktiken, die über den Zeitraum eines Jahres gesammelt wurden.
In technischer Hinsicht geht die Gruppe äußerst methodisch vor. Sobald der Zugang zu einem Netzwerk etabliert ist, werden vorhandene Sicherheitslösungen systematisch deaktiviert.
Für die weitere Bewegung innerhalb des Netzwerks (lateral movement) nutzen die Angreifer keine speziellen Schadprogramme, sondern greifen auf legitime Administrations- und Fernwartungstools wie AnyDesk, Atera, RDP oder gängige RMM-Software zurück. Dieser Ansatz erschwert die Entdeckung der Angreifer durch herkömmliche Überwachungssysteme erheblich.
