Medusa
Medusa 11 yan 2023 tarixindən bəri sızıntı saytında 517 qurumu elan edib.
Aylıq elan
- Ümumi elan
- 517
- İlk elan
- 11 yan 2023
- Son elan
- 14 fev 2026
- MITRE ATT&CK texnikası
- 60
Medusa 2021-ci ilin iyunundan bəri fəaliyyət göstərən, şantaj proqramı (ransomware) xidmət modeli əsasında işləyən bir əməliyyatdır və səhiyyə daxil olmaqla kritik infrastruktur sektorlarında 300-dən çox qurbanı hədəf alıb, təhsil, hüquq və istehsalat sahələrini ikiqat şantaj üsulu ilə hədəf alıb, 2023–2024-cü illər arasında hücumlar 42% artıb və 2025-ci ilin əvvəlində CISA tərəfindən rəsmi xəbərdarlıq verilib.
Son 12 ayda 11 elan verib; ən sıx ay dekabr 2025 olub (5 elan).
Ən çox hədəf alınan ölkə Amerika Birləşmiş Ştatları: 262 elan, ümuminin %51-i.
Ən çox hədəf alınan sektor Peşəkar Xidmətlər: 98 elan, ümuminin %19-i.
Hədəf aldığı ölkələr
Hədəf aldığı sektorlar
517 nəticədən 10 göstərilir
Qrupun hücumlarında 11 mərhələyə yayılan 60 MITRE ATT&CK texnikası sənədləşdirilib.
- 1
İlkin giriş
Qurum şəbəkəsinə ilk giriş edilir.
T1078Valid AccountsT1133External Remote ServicesT1190Exploit Public-Facing ApplicationT1566Phishing - 2
İcra
Zərərli kod hədəf sistemdə işə salınır.
T1047Windows Management InstrumentationT1059Command and Scripting InterpreterT1059.001Command and Scripting Interpreter: PowerShellT1059.003Command and Scripting Interpreter: Windows Command ShellT1072Software Deployment ToolsT1106Native APIT1559.001Inter-Process Communication: Component Object ModelT1569.002System Services: Service ExecutionT1675ESXi Administration Command - 3
Davamlılıq
Yenidən başlatma və parol dəyişikliyindən sonra da giriş qorunur.
T1112Modify RegistryT1136.002Create Account: Domain AccountT1505.003Server Software Component: Web ShellT1543.003Create or Modify System Process: Windows Service - 4
Səlahiyyət artırma
Daha yüksək səlahiyyətli hesablara keçilir.
T1484.001Domain or Tenant Policy Modification: Group Policy ModificationT1543.003Create or Modify System Process: Windows ServiceT1548.002Abuse Elevation Control Mechanism: Bypass User Account Control - 5
Müdafiədən yayınma
Təhlükəsizlik proqramları və qeydlər yan keçilir.
T1562Impair DefensesT1562.001Disable or Modify ToolsT1562.009Safe Mode Boot - 6
Giriş məlumatlarına çıxış
Parol, token və sessiya məlumatları ələ keçirilir.
T1003.001OS Credential Dumping: LSASS MemoryT1003.003OS Credential Dumping: NTDST1110Brute ForceT1558Steal or Forge Kerberos Tickets - 7
Daxili kəşfiyyat
Şəbəkədəki sistemlər, hesablar və məlumatlar xəritələnir.
T1016System Network Configuration DiscoveryT1018Remote System DiscoveryT1033System Owner/User DiscoveryT1046Network Service DiscoveryT1049System Network Connections DiscoveryT1057Process DiscoveryT1069.002Permission Groups Discovery: Domain GroupsT1082System Information DiscoveryT1083File and Directory DiscoveryT1087.001Account Discovery: Local AccountT1135Network Share DiscoveryT1518.001Software Discovery: Security Software DiscoveryT1652Device Driver Discovery - 8
Yanal hərəkət
Şəbəkə daxilində digər sistemlərə keçilir.
T1021Remote ServicesT1021.001Remote Services: Remote Desktop ProtocolT1072Software Deployment ToolsT1570Lateral Tool Transfer - 9
Komanda və nəzarət
Ələ keçirilən sistemlərlə uzaqdan əlaqə qurulur.
T1071.001Application Layer Protocol: Web Protocols - 10
Məlumat sızdırma
Məlumatlar qurumdan kənara çıxarılır; elandakı yayımlama təhdidi bu məlumata əsaslanır.
T1045Exfiltration Over C2 ChannelT1048Exfiltration Over Alternative ProtocolT1567Exfiltration Over Web ServiceT1567.002Exfiltration Over Web Service: Exfiltration to Cloud Storage - 11
Digər texnikalar
T1006Direct Volume AccessT1027Obfuscated Files or InformationT1027.002Obfuscated Files or Information: Software PackingT1027.010Obfuscated Files or Information: Command ObfuscationT1027.013Obfuscated Files or Information: Encrypted/Encoded FileT1070Indicator RemovalT1070.003Indicator Removal: Clear Command HistoryT1070.004Indicator Removal: File DeletionT1218.014System Binary Proxy Execution: MMCT1564.003Hide Artifacts: Hidden WindowT1564.012Hide Artifacts: File/Path Exclusions
Fidyə qrupu nə edir?
Fidyə proqramı qrupları qurum şəbəkəsinə sızır, məlumatı kənara çıxarır və sistemləri şifrələyir. Ödəniş edilməzsə, qurumu sızıntı saytında elan edir və məlumatı yayımlamaqla hədələyir.
Medusa qurumlara necə daxil olur?
Qurum şəbəkəsinə ilk giriş edilir.
- T1078 · Valid Accounts
- T1133 · External Remote Services
- T1190 · Exploit Public-Facing Application
- T1566 · Phishing
Hansı tədbirlər önə çıxır?
Sənədləşdirilən texnikalara görə prioritet tədbirlər:
- İnternetə açıq VPN, uzaq masaüstü və firewall interfeyslərini yeniləyin; bu hesablarda çoxaddımlı doğrulamanı məcburi edin.
- Skript və makroların işlədilməsini yalnız ehtiyacı olan istifadəçilərə açın; uc nöqtə qorumasında davranış qaydalarını aktiv saxlayın.
- Yeni yaradılan xidmətləri, planlaşdırılmış tapşırıqları və başlanğıc qeydlərini izləyin.
- Yerli administrator hesablarını azaldın; imtiyazlı əməliyyatları ayrı və izlənən hesablarla aparın.
- Təhlükəsizlik proqramının söndürülməsini və qeydlərin silinməsini xəbərdarlıq kimi təyin edin.
- Əməkdaş parollarının və sessiya kukilərinin infostealer qeydlərində görünüb-görünmədiyini mütəmadi yoxlayın.
- Qısa müddətdə çox sorğu edən hesabları və qeyri-adi şəbəkə skanlarını izləyin.
- Şəbəkəni seqmentlərə bölün; idarəetmə protokollarını yalnız idarəetmə şəbəkəsindən əlçatan saxlayın.
- Uzaqdan idarəetmə alətlərinin təsdiqsiz istifadəsini bloklayın.
- Bulud yaddaşı və fayl ötürmə xidmətlərinə gedən qeyri-adi məlumat həcmini izləyin.
Qurumunuz sızıntı saytında elan edilərsə nə etməlisiniz?
- Elanı və yayımlanan nümunə faylları qeydə alın; elan saytına qurum şəbəkəsindən daxil olmayın.
- Təsirlənən sistemləri şəbəkədən ayırın və qeydləri silmədən qoruyun.
- Hansı məlumatın qurumdan kənara çıxdığını müəyyən edin; şəxsi məlumat varsa, bildiriş öhdəliyini hüquq komandanızla qiymətləndirin.
- Fidyə tələbi ilə bağlı qərarı hüquq, rəhbərlik və insidentə cavab komandası ilə birlikdə verin.
- Hücumçunun daxil olduğu yolu bağlamadan sistemləri yenidən işə salmayın.
Qurumunuzun adı keçir?
Domen adınızla axtarış edərək fidyə elanlarında, sızan qeydlərdə, forumlarda və Telegram kanallarında görünüb-görünmədiyinizi yoxlayın.
Domen adınızla axtarınIntelligence 360
Infostealer Detection-ın üstünə müştəri kəşfiyyatı: saytınıza daxil olan son istifadəçilərin sızan hesabları da görünür.