# Medusa Ransomware - Campanha contra Saúde e Infraestrutura 2025
> [!high] FBI e CISA emitiram advisory conjunto em março de 2025 - 300+ vítimas em setores críticos incluindo saúde, educação e financeiro
> O grupo Medusa (rastreado por pesquisadores como Spearwing) ganhou escala significativa em 2025, com advisory conjunto do FBI e CISA emitido em 12 de março de 2025 documentando mais de 300 vítimas desde 2021. Incidentes de alto impacto incluíram a SimonMed Imaging (1,28 milhão de registros de pacientes expostos) e o HCRG Care Group no Reino Unido (resgate de US$ 2 milhões). Em fevereiro de 2026, a Symantec documentou atores norte-coreanos do Lazarus Group implantando o ransomware Medusa contra alvos de saúde nos EUA.
## Visão Geral
O [[g1051-medusa-ransomware|Medusa Ransomware]] - não confundir com a botnet MedusaLocker ou o grupo hacktivista Medusa - é uma operação de Ransomware-as-a-Service (RaaS) ativa desde pelo menos junho de 2021, identificada por pesquisadores da Symantec e outros como operada pelo grupo criminoso **Spearwing**. O grupo ganhou notoriedade crescente em 2023 e acelerou sua cadência de ataques em 2024-2025, culminando em um advisory conjunto do FBI/CISA em março de 2025 que documentou mais de 300 vítimas em setores críticos de infraestrutura.
O modelo operacional do Medusa segue o padrão de dupla extorsão estabelecido pelo [[operation-maze-2019-2020|Maze Ransomware]] em 2019: exfiltração de dados antes da criptografia, site de vazamento dedicado ("Medusa Blog"), e pressão escalonada de públicação. O grupo é particularmente agressivo na monetização: além do resgate para descriptografia e para não públicar os dados, a Medusa frequentemente oferece "serviços" pagos adicionais, como extensão de prazo (US$ 10.000/dia) ou exclusão de dados antes do prazo.
O setor de saúde foi o principal alvo documentado em 2025. A SimonMed Imaging, maior rede de diagnóstico por imagem dos EUA, sofreu exposição de 1,28 milhão de registros de pacientes em janeiro de 2025 com demanda de US$ 1 milhão. O HCRG Care Group, provedor de saúde do Reino Unido com 500 locais de atendimento, sofreu ataque em fevereiro de 2025 com demanda de US$ 2 milhões - dados de funcionários e pacientes foram públicados quando o resgate não foi pago.
Em fevereiro de 2026, pesquisadores da Symantec/Carbon Black documentaram uma conexão alarmante: atores norte-coreanos do [[g0032-lazarus-group|Lazarus Group]] foram identificados implantando o ransomware Medusa contra alvos de saúde nos EUA usando ferramentas exclusivas do grupo (Comebacker, Blindingcan e ChromeStealer) como parte de uma aparente campanha de geração de receita para o regime. Este desenvolvimento sinaliza que a infraestrutura do Medusa RaaS pode ter sido acessada ou infiltrada por atores estatais.
## Attack Flow
```mermaid
graph TB
A["Acesso Inicial<br/>Phishing ou exploit de<br/>VPN/serviço exposto"] --> B["Reconhecimento interno<br/>AD, shares, backups<br/>dados de alto valor"]
B --> C["Movimento lateral<br/>PsExec, WMI, RDP<br/>escalonamento de privilégios"]
C --> D["Exfiltração de dados<br/>rclone para cloud<br/>semanas de dwell time"]
D --> E["Desabilitação de defesas<br/>AV/EDR + backups<br/>parada de serviços críticos"]
E --> F["Deploy Medusa<br/>criptografia simultânea<br/>via GPO ou PsExec"]
F --> G["Dupla extorsão<br/>Medusa Blog com<br/>contador de prazo"]
```
```mermaid
graph TB
A["Spearwing opera<br/>Medusa RaaS 2021-"] --> B["Afiliados recrutados<br/>split 70-80% afiliado<br/>20-30% operadores"]
B --> C["300+ vítimas 2021-2025<br/>healthcare education<br/>tech financial manufacturing"]
C --> D["2025: Advisory FBI/CISA<br/>12 mar 2025<br/>AA25-071A"]
D --> E["Fev 2026: Conexão Lazarus<br/>Symantec documenta NK<br/>usando Medusa vs saúde EUA"]
```
## Cronologia
| Data | Evento |
|------|--------|
| 2021-06 | Medusa ransomware identificado pela primeira vez em campanha limitada |
| 2023-01 | Escalonamento significativo de ataques - "Medusa Blog" lançado como plataforma de vazamento |
| 2024-01 | Kansas City Area Transportation Authority comprometida - dados públicados |
| 2025-01 | SimonMed Imaging - 1,28 milhão de registros de pacientes; US$ 1M de resgate |
| 2025-02 | HCRG Care Group (UK) - 500 locais afetados; US$ 2M de resgate; dados públicados |
| 2025-03-12 | FBI/CISA emitem Advisory AA25-071A - 300+ vítimas documentadas |
| 2025-03 | Minneapolis Public Schools - segundo vazamento confirmado de dados educacionais |
| 2026-02 | Symantec/Carbon Black documenta Lazarus Group implantando Medusa contra saúde nos EUA |
## TTPs Utilizadas
| Técnica | ID | Descrição |
|---------|-----|-----------|
| Spearphishing Attachment | [[t1566-001-spearphishing-attachment\|T1566.001]] | E-mails com documentos maliciosos; vetor alternativo a exploits |
| Exploit Public-Facing Application | [[t1190-exploit-public-facing-application\|T1190]] | Exploração de VPNs, servidores de e-mail e aplicações web expostas |
| Valid Accounts | [[t1078-valid-accounts\|T1078]] | Credenciais obtidas via phishing ou compra em marketplaces underground |
| Transfer Data to Cloud Account | [[t1537-transfer-data-to-cloud-account\|T1537]] | rclone para exfiltração em massa para cloud storage |
| Service Stop | [[t1489-service-stop\|T1489]] | Desabilitação de antivírus, EDR e serviços de backup antes do ransomware |
| Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | Criptografia via GPO para cobertura máxima de rede |
## Impacto Documentado
**Vítimas de alto perfil:**
- **SimonMed Imaging** (jan 2025) - maior rede de diagnóstico por imagem dos EUA; 1,28 milhão de registros de pacientes; US$ 1 milhão de resgate demandado
- **HCRG Care Group** (fev 2025) - provedor de saúde UK com 500 locais; US$ 2 milhões de resgate; dados de pacientes e funcionários públicados após recusa de pagamento
- **Minneapolis Public Schools** (2025) - segundo incidente confirmado com dados de estudantes expostos
- **Kansas City Area Transportation Authority** (2024) - infraestrutura de transporte urbano comprometida
**Escala global:**
- 300+ vítimas documentadas desde 2021 (Advisory FBI/CISA março 2025)
- Setores afetados: saúde, educação, tecnologia, financeiro, manufatura, serviços legais e seguros
- Operação ativa em múltiplos continentes com concentração nos EUA, Reino Unido e Europa Ocidental
**Conexão Lazarus Group (fevereiro 2026):**
- Symantec/Carbon Black identificou atores norte-coreanos usando infraestrutura Medusa
- Ferramentas exclusivas do Lazarus (Comebacker loader, Blindingcan backdoor, ChromeStealer) usadas antes do deploy do ransomware Medusa
- Padrão consistente com monetização de operações de espionagem via ransomware - modelo documentado pelo Lazarus desde 2019
- Alvo principal: organizações de saúde sem fins lucrativos nos EUA
## Conexão Lazarus Group - Análise de Atribuição
O episódio de fevereiro de 2026 merece análise separada dado o impacto estratégico. O [[g0032-lazarus-group|Lazarus Group]] tem histórico documentado de uso oportunístico de ransomware para geração de receita - o grupo foi pioneiro nesta prática com o WannaCry em 2017 e o desenvolvimento do Ryuk via afiliados.
A hipótese mais provável dos analistas Symantec é que atores norte-coreanos obtiveram acesso ao builder ou às credenciais de afiliado do Medusa RaaS, permitindo o uso da plataforma sem envolvimento direto do grupo Spearwing. Este padrão - estados nacionais "alugando" infraestrutura criminosa - é crescentemente documentado e representa um desafio para atribuição convencional.
A implicação prática: organizações de saúde nos EUA enfrentam simultaneamente o grupo Spearwing como ameaça criminosa financeira e potencialmente atores norte-coreanos usando a mesma infraestrutura com motivações de espionagem e extorsão combinadas.
## Relevância LATAM e Brasil
O Medusa não tem impacto operacional direto documentado no Brasil ou na América Latina até o momento. No entanto, o caso tem relevância estratégica crescente:
- **Setor de saúde como alvo prioritário**: O padrão global de ransomware migrando para saúde é diretamente relevante para hospitais brasileiros públicos e privados, que historicamente têm menor maturidade de segurança e dados de pacientes de alto valor
- **Modelo RaaS acessível**: A estrutura de afiliados do Medusa abaixa a barreira de entrada para grupos com menos capacidade técnica - afiliados brasileiros de ransomware poderiam adotar o Medusa assim como adotaram LockBit e outros
- **Conexão Lazarus + saúde**: A ligação documentada entre Lazarus Group e ataques a saúde reforça a necessidade do [[government|governo brasileiro]] e do setor de saúde considerarem ameaças de espionagem combinada com ransomware
- **Precedente regulatório LGPD**: O incidente SimonMed (1,28M pacientes) tipo seria notificável à [[anpd|ANPD]] no Brasil - o impacto regulatório de um incidente similar em hospital brasileiro seria significativo
## Mitigação
**Controles prioritários para saúde:**
- Implementar MFA em todos os sistemas de acesso remoto (VPN, RDP, portais clínicos)
- Segmentar redes clínicas de redes administrativas - sistemas de diagnóstico em VLAN isolada
- Backup offline e imutável de registros de pacientes, separado da rede principal
- Monitorar exfiltração via rclone - ferramenta frequentemente usada antes do deploy do ransomware
**Controles estratégicos:**
- Aplicar [[m1032-multi-factor-authentication|M1032]] - MFA em RDP, VPN e portais web de saúde
- Implementar [[m1049-antivirus-antimalware|M1049]] - EDR com detecção comportamental em sistemas clínicos
- Usar [[m1053-data-backup|M1053]] - backups offline testados periodicamente para dados críticos de pacientes
- Monitorar via [[ds-0017-command|DS-0017]] - execução de comandos administrativos fora do horário normal
**Para organizações de saúde brasileiras:**
- Aderir ao framework de cibersegurança da ANPD para dados sensíveis de saúde
- Implementar plano de resposta a incidentes específico para ransomware com protocolos de notificação ANPD
- Realizar exercícios de tabletop simulando cenário de ransomware com impacto em sistemas críticos de diagnóstico
## Referências
- [1](https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-071a) CISA/FBI - Advisory AA25-071A: Medusa Ransomware (março 2025)
- [2](https://www.bleepingcomputer.com/news/security/fbi-cisa-warns-of-medusa-ransomware-gang-targeting-300-organizations/) BleepingComputer - FBI/CISA Warn of Medusa Targeting 300+ Organizations (2025)
- [3](https://www.bleepingcomputer.com/news/security/medusa-ransomware-claims-attack-on-simionmed-imaging/) BleepingComputer - Medusa Claims Attack on SimonMed Imaging (2025)
- [4](https://www.bleepingcomputer.com/news/security/hcrg-care-group-confirms-data-breach-after-medusa-ransomware-claims-attack/) BleepingComputer - HCRG Care Group Confirms Data Breach (2025)
- [5](https://symantec-enterprise-blogs.security.com/threat-intelligence/lazarus-medusa-ransomware) Symantec - North Korean Actors Deploy Medusa Against US Healthcare (2026)
- [6](https://attack.mitre.org/groups/G1044/) MITRE ATT&CK - Spearwing (Medusa Ransomware Group) (2024)