نظرة عامة
MedusaLocker عملية برمجيات فدية كخدمة رُصدت لأول مرة في عام 2019. ويصف تحذير مشترك صادر عن CISA وFBI ووزارة الخزانة الأمريكية ومركز MS-ISAC (AA22-181A، عام 2022) مشغّليها بأنهم يعتمدون أساسًا على إعدادات بروتوكول سطح المكتب البعيد (RDP) الضعيفة للوصول الأولي، مع التصيد الإلكتروني والمرفقات المزعجة بوصفهما مسارًا ثانيًا. وتعتمد المجموعة نموذج الابتزاز المزدوج وتعمل مع شركاء.
- تاريخ أول رصد: 2022-11-15
- ورد ذكرها في تقاريرنا: فرنسا
النطاق الجغرافي: المنشأ والأهداف
لا تتوفر نسبة علنية مؤكدة للمنشأ. ولا تُرسم خطوط على الخريطة إلا عندما تشير التقارير المنشورة إلى مواقع وجود المشغّلين. أما الأعلام فتشير إلى الدول التي أعلنت المجموعة استهداف ضحايا فيها، ويعكس حجم كل علم عدد الادعاءات المسجلة.
الولايات المتحدة11
ألمانيا5
البرازيل4
كندا4
فرنسا4
المملكة المتحدة4
الإمارات العربية المتحدة3
سويسرا2
إسبانيا2
الهند2
الثغرات التي ثبت استغلالها
لم تُسجَّل أي معلومات في المصادر التي راجعناها.
تقنيات ATT&CK
تمثل الأعمدة تكتيكات إطار MITRE ATT&CK، وتعرض كل خلية تقنية نُسب استخدامها إلى المجموعة في مصادر منشورة. ولا يعني إدراج تقنية أنها استُخدمت بالضرورة في حادثة محددة، كما أن عدم إدراجها لا يثبت أن المجموعة لا تستخدمها.
| تصعيد الامتيازات |
|---|
| Parent PID Spoofing |
تفاصيل التقنيات
الأدوات
- Invoke-TheHash
- Mimikatz
- HRSword
- PCHunter
- ProcessHacker
- Advanced IP Scanner
- Advanced Port Scanner
- SoftPerfect NetScan
- PsExec
- Impacket
- Remote Desktop Plus (RDP+)
البنية التحتية لمواقع التسريب
| العنوان | النوع | العنوان بعد تعطيل الرابط | حالة الظهور وقت جمع البيانات |
|---|---|---|---|
| File Manager | DLS | t33zoj4qwv455fog7qnb2azi5xcdxkixughmmduzbw2rtdgryqfbh6id[.]onion | نعم |
| Human Verify | DLS | medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd[.]onion | لا |
| — | DLS | qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd[.]onion | لا |
| Medusa Chat | Chat | 95[.]143[.]191[.]148:3000 | لا |
| Ransomware blog – We will not give ourselves a name. Just watch out for the leakage of your data:) | DLS | z6wkgghtoawog5noty5nxulmmt2zs7c3yvwr22v4czbffdoly2kl4uad[.]onion | لا |
المصادر والتحفظات
تستند أوصاف المجموعات، ومواءمات MITRE ATT&CK، ومعلومات الأدوات ومواقع التسريب إلى مشاريع عامة لتتبع برمجيات الفدية، منها ransomware.live وCrocodyli. أما بيانات الثغرات التي استُغلت فتستند إلى مصفوفة Ransomware-Vulnerability-Matrix التابعة لـBushidoUK، المنشورة بموجب ترخيص CC BY 4.0. وقد استُكملت بعض البيانات عندما كانت المعلومات المتاحة عن مجموعة معينة في ذلك المصدر أحدث من البيانات لدينا. يرتبط كل معرّف CVE بمصدره الأصلي. أُبقيت الأوصاف التقنية باللغة الإنجليزية كما نُشرت. وعُطّلت روابط مواقع التسريب لتسهيل حظرها والكشف عنها؛ لا تزُر هذه المواقع. لم تتحقق ClairSec_ بصورة مستقلة من صحة المعلومات على مستوى كل حادثة.
تاريخ توثيق البيانات: 2026-10-11