نظرة عامة
Medusa عملية برمجيات فدية كخدمة نشطة منذ يونيو 2021 استهدفت أكثر من 300 ضحية في قطاعات البنية التحتية الحرجة ومنها الصحة والتعليم والقانون والتصنيع بالابتزاز المزدوج، وارتفعت هجماتها 42% بين 2023 و2024، وصدرت بشأنها نشرة رسمية من CISA في أوائل 2025.
- تاريخ أول رصد: 2023-01-11
- ورد ذكرها في تقاريرنا: الإمارات
ما أوردته التقارير المنشورة
أسماء أخرى: Spearwing · Storm-1175 (Microsoft’s name for one affiliate)
- تتضارب التقييمات بشأن إسناد المجموعة. فتنسب Microsoft نشاط الشريك Storm-1175 إلى مجموعة ذات دوافع مالية تتمركز في الصين، بينما تشير النصوص البرمجية المكتوبة بالأبجدية السيريلية، والنشاط في المنتديات الروسية، واستثناء دول رابطة الدول المستقلة من الاستهداف، إلى احتمال وجود نواة من المشغّلين الناطقين بالروسية. لذلك، لا نحدد بلد منشأ على الخريطة.
- في عام 2026، ربطت Microsoft نشاط الشريك Storm-1175 باستغلال ثغرات من نوع Zero-day في Fortra GoAnywhere MFT (CVE-2025-10035) وSmarterTools SmarterMail (CVE-2026-23760)، وذلك قبل نحو أسبوع من الإفصاح العلني عنها.
BleepingComputer · Cloud Security Alliance
النطاق الجغرافي: المنشأ والأهداف
لا تتوفر نسبة علنية مؤكدة للمنشأ. ولا تُرسم خطوط على الخريطة إلا عندما تشير التقارير المنشورة إلى مواقع وجود المشغّلين. أما الأعلام فتشير إلى الدول التي أعلنت المجموعة استهداف ضحايا فيها، ويعكس حجم كل علم عدد الادعاءات المسجلة.
الولايات المتحدة262
المملكة المتحدة38
كندا35
إيطاليا14
أستراليا14
البرازيل10
فرنسا10
الهند8
ألمانيا6
النرويج6
الثغرات التي ثبت استغلالها
| الشركة المصنّعة | المنتج | المعرّف | الفئة | المصدر |
|---|---|---|---|---|
| Fortinet | FortiClientEMS | CVE-2023-48788 | أجهزة ومكونات الحافة الشبكية | cisa.gov, cisa.gov |
| ConnectWise | ScreenConnect | CVE-2024-1708 | أدوات الإدارة عن بُعد | cisa.gov, unit42.paloaltonetworks.com, trendmicro.com, bleepingcomputer.com, cisa.gov |
| ConnectWise | ScreenConnect | CVE-2024-1709 | أدوات الإدارة عن بُعد | cisa.gov, unit42.paloaltonetworks.com, trendmicro.com, bleepingcomputer.com, cisa.gov |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57727 | أدوات الإدارة عن بُعد | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57728 | أدوات الإدارة عن بُعد | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| Citrix | NetScaler ADC & Gateway | CVE-2023-4966 | المحاكاة الافتراضية | doublepulsar.com, bleepingcomputer.com, therecord.media, secureworks.com, microsoft.com |
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
تفاصيل التقنيات
الوصول الأولي (TA0001)
- T1078 · Valid Accounts: وصول أولي عبر القوة الغاشمة أو بيانات اعتماد مخترَقة لحسابات RDP مشروعة.
- T1133 · External Remote Services: يصل إلى شبكة الضحية عبر خدمة RDP.
- T1190 · Exploit Public-Facing Application: استفادت مجموعة Medusa من ثغرات في خدمات مواجهة للإنترنت في حملاتها ضد المؤسسات المستهدفة للحصول على وصول أولي، كما استخدمت الثغرة CVE-2024-1709 في ScreenConnect وCVE-2023-48788 في Fortinet EMS للوصول الأولي إلى بيئات الضحايا.
- T1566 · Phishing: وصول أولي عبر مرفقات رسائل التصيد.
التنفيذ (TA0002)
- T1047 · Windows Management Instrumentation: يستخدم سلسلة من أوامر ويندوز مثل bcdedit.exe وvssadmin.
- T1059 · Command and Scripting Interpreter: يستخدم سلسلة من أوامر ويندوز مثل bcdedit.exe وvssadmin.
- T1059.001 · Command and Scripting Interpreter: PowerShell: استخدمت مجموعة Medusa أداة PowerShell للتنفيذ وتفادي الاكتشاف، كما استخدمتها لتنفيذ نقل عبر bitsadmin من موقع استضافة ملفات.
- T1059.003 · Command and Scripting Interpreter: Windows Command Shell: استخدمت مجموعة Medusa موجّه أوامر ويندوز للتحكم في النظام وتنفيذ الأوامر، ومنها أنشطة النقل الوارد وحصر الشبكة ونظام الملفات.
- T1072 · Software Deployment Tools: استخدمت مجموعة Medusa حلول نشر وإدارة البرمجيات لنشر حمولة التشفير، ومنها BigFix وPDQ Deploy.
- T1106 · Native API: استفادت مجموعة Medusa من دوال واجهة ويندوز الأصلية لتنفيذ الحمولات.
- T1559.001 · Inter-Process Communication: Component Object Model: استفادت مجموعة Medusa من نموذج كائنات المكوّنات (COM) لتجاوز UAC.
- T1569.002 · System Services: Service Execution: استخدمت مجموعة Medusa أداة PsExec لتنفيذ السكربتات والأوامر داخل بيئات الضحايا، كما استخدمت خدمة RoboCopy في ويندوز للبحث عن البيانات ونسخها تمهيدًا لتسريبها.
- T1675 · ESXi Administration Command: يسيء مشغّلو Medusa استخدام خدمات إدارة ESXi لفرض كلمات مرور جذر يتحكمون بها على أجهزة لينكس.
الاستمرارية (TA0003)
- T1112 · Modify Registry: عدّلت مجموعة Medusa مفاتيح السجل لرفع الصلاحيات والحفاظ على الاستمرارية وإتاحة الوصول عن بُعد.
- T1136.002 · Create Account: Domain Account: أنشأت مجموعة Medusa حساب نطاق داخل بيئة الضحية.
- T1505.003 · Server Software Component: Web Shell: استخدمت مجموعة Medusa واجهات ويب (webshells) على خادم Microsoft Exchange مستغَل.
- T1543.003 · Create or Modify System Process: Windows Service: استخدمت مجموعة Medusa برامج تشغيل ضعيفة أو موقّعة لتعديل حلول الأمان على أجهزة الضحايا.
تصعيد الامتيازات (TA0004)
- T1484.001 · Domain or Tenant Policy Modification: Group Policy Modification: أجرى مشغّلو Medusa تغييرات على إعدادات سياسة النطاق الافتراضية في Active Directory لتجاوز إعدادات سياسة المجموعة.
- T1543.003 · Create or Modify System Process: Windows Service: استخدمت مجموعة Medusa برامج تشغيل ضعيفة أو موقّعة لتعديل حلول الأمان على أجهزة الضحايا.
- T1548.002 · Abuse Elevation Control Mechanism: Bypass User Account Control: حاولت مجموعة Medusa تجاوز UAC عبر واجهة نموذج كائنات المكوّنات (COM).
التخفي (TA0005)
- T1006 · Direct Volume Access: يستخدم مشغّلو Medusa أداة vssadmin لتجاوز ضوابط الوصول إلى ملفات ويندوز وأدوات مراقبة نظام الملفات للحصول على نسخ من خلايا السجل.
- T1027 · Obfuscated Files or Information: يعمّي مشغّلو Medusa السلاسل النصية بتقطيعها إلى أجزاء والإشارة إليها عبر متغير.
- T1027.002 · Obfuscated Files or Information: Software Packing: ضغطت مجموعة Medusa شيفرة برامج تشغيل النواة المُسقَطة باستخدام الحازم ASM Guard.
- T1027.010 · Obfuscated Files or Information: Command Obfuscation: عمّت مجموعة Medusa سكربتات PowerShell بترميز Base64، كما عمّت شيفرة برامج تشغيل النواة المُسقَطة ببرنامج Safengine Shielden الذي يعشّي الشيفرة بتحويلات عشوائية ثم يستخدم مفسّر آلة افتراضية مضمّنًا لتنفيذها.
- T1027.013 · Obfuscated Files or Information: Encrypted/Encoded File: يستخدم مشغّلو Medusa تقنية تخفٍّ معروفة تنفّذ أمرًا مشفّرًا بـ base64.
- T1070 · Indicator Removal: يحذف مشغّلو Medusa أعمالهم السابقة والأدوات المثبّتة.
- T1070.003 · Indicator Removal: Clear Command History: مسحت مجموعة Medusa سجل الأوامر بتشغيل أمر PowerShell: `Remove-Item (Get-PSReadlineOption).HistorySavePath`.
- T1070.004 · Indicator Removal: File Deletion: حذفت مجموعة Medusa أدوات مثبّتة سابقًا.
- T1218.014 · System Binary Proxy Execution: MMC: استفادت مجموعة Medusa من Microsoft Management Console (MMC) لتسهيل الحركة الجانبية والتفاعل محليًا أو عن بُعد مع أجهزة الضحايا بالأمر `mmc.exe compmgmt.msc /computer:{hostname/ip}`.
- T1564.003 · Hide Artifacts: Hidden Window: استخدمت مجموعة Medusa دالة `ShowWindow` لإخفاء النافذة الحالية.
- T1564.012 · Hide Artifacts: File/Path Exclusions: يعمل مشغّلو Medusa داخل مجلدات مستثناة مسبقًا في Windows Defender.
تفادي الاكتشاف (TA0005)
- T1562 · Impair Defenses: يستخدم سطر أوامر WMIC لحذف النسخ الظلية.
- T1562.001 · Disable or Modify Tools: ينهي الخدمات أو العمليات المرتبطة بمضادات الفيروسات وأدوات الأمان.
- T1562.009 · Safe Mode Boot: يسيء استخدام الوضع الآمن للتهرب من كشف الأجهزة الطرفية.
الوصول إلى بيانات الاعتماد (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: استخدمت مجموعة Medusa أداة Mimikatz لاستخراج LSASS وجمع بيانات الاعتماد.
- T1003.003 · OS Credential Dumping: NTDS: دخلت مجموعة Medusa إلى ملف ntds.dit لاستخراج بيانات الاعتماد.
- T1110 · Brute Force: يستخدم القوة الغاشمة على كلمات مرور حسابات RDP المحلية.
- T1558 · Steal or Forge Kerberos Tickets: يسرق مشغّلو Medusa بيانات الاعتماد بنسخ ملفات قواعد بيانات ويندوز واستخدامها لإنشاء تذاكر Kerberos مزوّرة.
الاستكشاف (TA0007)
- T1016 · System Network Configuration Discovery: حصلت مجموعة Medusa على تفاصيل شبكة الجهاز بالأمر `cmd.exe /c ipconfig /all`.
- T1018 · Remote System Discovery: استخدمت مجموعة Medusa أداة PDQ Inventory للحصول على جرد للأجهزة الطرفية في الشبكة.
- T1033 · System Owner/User Discovery: استخدمت مجموعة Medusa أداة PsExec لتنفيذ `quser` لاكتشاف معلومات جلسات المستخدمين.
- T1046 · Network Service Discovery: لدى مجموعة Medusa القدرة على استخدام ملفات النظام المشروعة (LOTL) لحصر الشبكة، كما استخدمت أداة الفحص المتاحة للعامة SoftPerfect Network Scanner (`netscan.exe`) لاكتشاف أسماء الأجهزة وخدمات الشبكة.
- T1049 · System Network Connections Discovery: يستخدم مشغّلو Medusa الأمر netstat -a لجمع قائمة بالاتصالات الشبكية.
- T1057 · Process Discovery: استخدمت مجموعة Medusa قائمة مضمّنة بعمليات أدوات الأمان لتحديدها وإنهائها عبر رمز IOCTL غير موثّق 0x222094.
- T1069.002 · Permission Groups Discovery: Domain Groups: استخدمت مجموعة Medusa الأمر `net group` للاستعلام عن مجموعات النطاق في بيئة الضحية.
- T1082 · System Information Discovery: استخدمت مجموعة Medusa `cmd.exe` لتحديد معلومات النظام عبر `cmd.exe /c systeminfo`.
- T1083 · File and Directory Discovery: يستعلم عن ملفات ومجلدات وامتدادات ملفات محددة.
- T1087.001 · Account Discovery: Local Account: استخدمت مجموعة Medusa الأمر `net user` لاكتشاف الحسابات.
- T1135 · Network Share Discovery: يحصر المجلدات المشتركة على الشبكة.
- T1518.001 · Software Discovery: Security Software Discovery: اكتشفت مجموعة Medusa حلول الأمان لإنهائها أو حذفها داخل جهاز الضحية بقوائم مضمّنة من السلاسل النصية تحوي ملفات منتجات الأمان التنفيذية.
- T1652 · Device Driver Discovery: استعلمت مجموعة Medusa عن برامج التشغيل على جهاز الضحية بالأمر `driverquery`.
الحركة الجانبية (TA0008)
- T1021 · Remote Services: يستخدم الخدمات البعيدة لتسجيل الدخول والحركة الجانبية عبر RDP وSMB.
- T1021.001 · Remote Services: Remote Desktop Protocol: استخدمت مجموعة Medusa بروتوكول RDP للحركة الجانبية وتسريب البيانات، كما استخدمت الملف التنفيذي `mstsc.exe` لأنشطة RDP بالأمر `mstsc.exe /v:{hostname/ip}`.
- T1072 · Software Deployment Tools: استخدمت مجموعة Medusa حلول نشر وإدارة البرمجيات لنشر حمولة التشفير، ومنها BigFix وPDQ Deploy.
- T1570 · Lateral Tool Transfer: استخدمت مجموعة Medusa خدمات برمجيات مشروعة مثل PDQ Deploy لنقل ملفات وأدوات خبيثة إلى أجهزة أخرى مخترَقة داخل بيئة الهدف.
استخراج البيانات (TA0010)
- T1045 · Exfiltration Over C2 Channel: ينقل البيانات إلى خوادم يتحكم بها المهاجم عبر قناة قيادة وتحكم قائمة.
- T1048 · Exfiltration Over Alternative Protocol: يسرّب البيانات بروتوكولات بديلة مثل FTP/SFTP لتفادي الكشف بالطرق التقليدية.
- T1567 · Exfiltration Over Web Service: يسرّب البيانات عبر خدمات ويب مثل الخدمات السحابية (Google Drive وDropbox وغيرها).
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: استخدمت مجموعة Medusa أداة Rclone لاستخراج البيانات من بيئات الضحايا إلى التخزين السحابي.
القيادة والتحكم (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: تواصلت مجموعة Medusa عبر صدفات عكسية أو مرتبطة (reverse/bind shells) على المنفذ 443 (HTTPS).
- T1090.003 · Proxy: Multi-hop Proxy: استخدمت مجموعة Medusa عُقد TOR للاتصالات.
- T1105 · Ingress Tool Transfer: يستخدم certutil لتنزيل ملفات خبيثة.
- T1219 · Remote Access Tools: استفادت مجموعة Medusa من برمجيات الوصول عن بُعد للحركة الجانبية وتسريب البيانات، ومن المعروف أنها تستخدم برمجيات مثل AnyDesk وAtera وConnectWise وeHorus وN-Able وPDQ Deploy وPDQ Inventory وSimpleHelp وSplashtop.
- T1573.002 · Encrypted Channel: Asymmetric Cryptography: استخدمت مجموعة Medusa بروتوكول HTTPS للقيادة والتحكم.
التأثير (TA0040)
- T1486 · Data Encrypted for Impact: يستخدم خوارزمية AES-256 لتشفير الملفات على الجهاز.
- T1489 · Service Stop: ينهي العمليات والخدمات المرتبطة بخوادم قواعد البيانات والبريد الإلكتروني والنسخ الاحتياطي.
- T1490 · Inhibit System Recovery: يحذف النسخ الظلية ويعطّل ميزة استعادة النظام في ويندوز.
- T1529 · System Shutdown/Reboot: أوقفت مجموعة Medusa آلات افتراضية وشفّرتها يدويًا.
- T1657 · Financial Theft: سرقت مجموعة Medusa بيانات الضحايا وشفّرتها لابتزازهم لدفع فدية.
تطوير الموارد (TA0042)
- T1583.006 · Acquire Infrastructure: Web Services: استخدمت مجموعة Medusa خدمة استضافة ملفات باسم filemail[.]com لاستضافة ملف zip يحتوي حمولات خبيثة سهّلت الإجراءات اللاحقة.
- T1585.001 · Establish Accounts: Social Media Accounts: أنشأت مجموعة Medusa حسابات على وسائل التواصل، منها Telegram وX، للإعلان عن أنشطتها.
- T1585.002 · Establish Accounts: Email Accounts: أنشأت مجموعة Medusa حسابات بريد إلكتروني تُستخدم في مفاوضات الفدية.
- T1588.002 · Obtain Capabilities: Tool: حصلت مجموعة Medusa على خدمات RMM عديدة وأدوات فحص متاحة للعامة واستخدمتها، ومنها Advanced IP Scanner وSoftPerfect Network Scanner لاكتشاف المستخدمين والأنظمة والشبكة، كما حصلت على أدوات للقيادة والتحكم وتفادي الاكتشاف، منها أدوات النفق Ligolo وCloudflared.
- T1608.002 · Stage Capabilities: Upload Tool: استخدمت مجموعة Medusa خدمة استضافة ملفات تُسمى filemail[.]com لاستضافة ملف zip يحتوي خدمة RMM مثل ConnectWise.
- T1650 · Acquire Access: اشترت مجموعة Medusa بيانات اعتماد مستخدمين وبيانات حساسة أخرى من وسطاء الوصول الأولي (IABs).
إضعاف وسائل الدفاع (TA0112)
- T1112 · Modify Registry: عدّلت مجموعة Medusa مفاتيح السجل لرفع الصلاحيات والحفاظ على الاستمرارية وإتاحة الوصول عن بُعد.
- T1553.002 · Subvert Trust Controls: Code Signing: استخدمت مجموعة Medusa برامج تشغيل ضعيفة أو موقّعة لإنهاء أو حذف خدمات مرتبطة بأدوات كشف الأجهزة الطرفية والاستجابة لها (EDR).
- T1685 · Disable or Modify Tools: أنهت مجموعة Medusa خدمات مضادات الفيروسات باستخدام الملف التنفيذي gaze.exe وأداة `psexec.exe`، كما استفادت من رموز التحكم في الإدخال والإخراج (IOCTLs) لإنهاء عمليات أدوات الأمان المحددة وحذفها.
- T1686 · Disable or Modify System Firewall: استخدمت مجموعة Medusa أداة PsExec لتنفيذ سكربتات دفعية تعدّل إعدادات جدار الحماية، كما فعّلت قواعد جدار الحماية وعدّلتها للسماح باتصالات RDP للحركة الجانبية والتفاعل مع الأجهزة.
- T1690 · Prevent Command History Logging: أزالت مجموعة Medusa سجل أوامر PowerShell عبر وحدة PSReadLine بتشغيل الأمر `Remove-Item (Get-PSReadlineOption).HistorySavePath`.
الأدوات
سرقة بيانات الاعتماد
- Mimikatz
تفادي الاكتشاف
- EDRSandBlast
- KillAV
- ThrottleStop driver
الاستكشاف
- Advanced IP Scanner
- Navicat
- PDQ Inventory
- RoboCopy
- SoftPerfect NetScan
استخراج البيانات
- RClone
أدوات النظام الشرعية
- BITSAdmin
- Process Explorer
- PsExec
الشبكات والأنفاق
- Cloudflared
- FRP
- Ligolo
- PuTTY
- RevSocks
أدوات الإدارة عن بُعد
- AnyDesk
- Atera
- HCL BigFix
- N-Able
- PDQ Deploy
- ScreenConnect
- SimpleHelp
- Splashtop
- eHorus
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| Human Verify | DLS | kyfiw76eol6ph2mq7pi5e5tdvce37bicddhai62qhdc5ja6jdchz4qqd[.]onion | لا |
| Human Verify | DLS | s7lmmhlt3iwnwirxvgjidl6omcblvw2rg75txjfduy73kx5brlmiulad[.]onion | لا |
| — | DLS | 62foekhv5humjrfwjdyd2dgextpbf5i7obguhwvfoghmu3nxpkmxlcid[.]onion | لا |
| Medusa Chat | Chat | medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd[.]onion | لا |
| 503 Service Temporarily Unavailable | DLS | dlmfciajg5s4vliyo5dhs5jyzhi2xr2fnkebul46lpf4xudtqiue4nid[.]onion | لا |
| Human Verify | DLS | cx5u7zxbvrfyoj6ughw76oa264ucuuizmmzypwum6ear7pct4yc723qd[.]onion | لا |
| Human Verify | DLS | xfv4jzckytb4g3ckwemcny3ihv4i5p4lqzdpi624cxisu35my5fwi5qd[.]onion | لا |
| — | DLS | 45[.]9[.]148[.]39 | لا |
| — | DLS | hupxs7ps7md24kpz4lwsbra64abgxjx3pcc2wuca5ibawf2g5hlpfyqd[.]onion | لا |
| Human Verify | DLS | medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd[.]onion | لا |
| — | DLS | 7aqabivkwmpvjkyefonf3gpy5gsubopqni7kcirsrq3pflckxq5zz4id[.]onion | لا |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11