Vue d’ensemble
Medusa est une opération de rançongiciel en tant que service active depuis juin 2021, qui a ciblé plus de 300 victimes dans des secteurs d’infrastructures critiques dont la santé, l’éducation, le droit et l’industrie, par double extorsion ; ses attaques ont augmenté de 42 % entre 2023 et 2024, et la CISA a publié un avis officiel début 2025.
- Premier suivi: 2023-01-11
- Citée dans nos rapports: Émirats
Ce que disent les sources publiques
Alias: Spearwing · Storm-1175 (Microsoft’s name for one affiliate)
- L’attribution est contradictoire. Microsoft attribue l’affilié Storm-1175 à un groupe à motivation financière basé en Chine, tandis que des scripts en cyrillique, une activité sur des forums russes et des exclusions de la CEI suggèrent un noyau russophone. Nous n’associons donc aucun pays d’origine.
- En 2026, Microsoft a rattaché l’affilié Storm-1175 à l’exploitation en zero-day de Fortra GoAnywhere MFT (CVE-2025-10035) et de SmarterTools SmarterMail (CVE-2026-23760) environ une semaine avant la divulgation publique.
BleepingComputer · Cloud Security Alliance
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique262
Royaume-Uni38
Canada35
Italie14
Australie14
Brésil10
France10
Inde8
Allemagne6
Norvège6
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| Fortinet | FortiClientEMS | CVE-2023-48788 | Équipements de bordure | cisa.gov, cisa.gov |
| ConnectWise | ScreenConnect | CVE-2024-1708 | Outils d’administration à distance | cisa.gov, unit42.paloaltonetworks.com, trendmicro.com, bleepingcomputer.com, cisa.gov |
| ConnectWise | ScreenConnect | CVE-2024-1709 | Outils d’administration à distance | cisa.gov, unit42.paloaltonetworks.com, trendmicro.com, bleepingcomputer.com, cisa.gov |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57727 | Outils d’administration à distance | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| SimpleHelp | SimpleHelp RMM | CVE-2024-57728 | Outils d’administration à distance | cisa.gov, sophos.com, CuratedIntel, s-rminform.com |
| Citrix | NetScaler ADC & Gateway | CVE-2023-4966 | Virtualisation | doublepulsar.com, bleepingcomputer.com, therecord.media, secureworks.com, microsoft.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Accès initial (TA0001)
- T1078 · Valid Accounts: Accès initial par force brute ou par identifiants compromis de comptes RDP légitimes.
- T1133 · External Remote Services: Accède au réseau de la victime via un service RDP.
- T1190 · Exploit Public-Facing Application: Le groupe Medusa a exploité des vulnérabilités de services exposés dans ses campagnes contre des organisations victimes pour obtenir un accès initial. Il a aussi utilisé la CVE-2024-1709 de ScreenConnect et la CVE-2023-48788 de Fortinet EMS pour l’accès initial.
- T1566 · Phishing: Accès initial par des pièces jointes de courriels d’hameçonnage.
Exécution (TA0002)
- T1047 · Windows Management Instrumentation: Utilise une série de commandes Windows, comme bcdedit.exe et vssadmin.
- T1059 · Command and Scripting Interpreter: Utilise une série de commandes Windows, comme bcdedit.exe et vssadmin.
- T1059.001 · Command and Scripting Interpreter: PowerShell: Le groupe Medusa a utilisé PowerShell pour l’exécution et l’évasion des défenses, ainsi que pour lancer un transfert bitsadmin depuis un site d’hébergement de fichiers.
- T1059.003 · Command and Scripting Interpreter: Windows Command Shell: Le groupe Medusa a utilisé l’invite de commandes Windows pour contrôler le système et exécuter des commandes, notamment pour le transfert entrant et l’énumération du réseau et du système de fichiers.
- T1072 · Software Deployment Tools: Le groupe Medusa a utilisé des solutions de déploiement et de gestion logicielle, dont BigFix et PDQ Deploy, pour déployer sa charge utile de chiffrement.
- T1106 · Native API: Le groupe Medusa a exploité des fonctions de l’API native Windows pour exécuter ses charges utiles.
- T1559.001 · Inter-Process Communication: Component Object Model: Le groupe Medusa a exploité le Component Object Model (COM) pour contourner l’UAC.
- T1569.002 · System Services: Service Execution: Le groupe Medusa a utilisé PsExec pour exécuter des scripts et commandes dans les environnements des victimes, ainsi que RoboCopy pour rechercher et copier des données en vue de leur exfiltration.
- T1675 · ESXi Administration Command: Les opérateurs de Medusa détournent les services d’administration ESXi pour imposer des mots de passe root qu’ils contrôlent sur les machines Linux.
Persistance (TA0003)
- T1112 · Modify Registry: Le groupe Medusa a modifié des clés du registre pour élever ses privilèges, assurer sa persistance et permettre l’accès à distance.
- T1136.002 · Create Account: Domain Account: Le groupe Medusa a créé un compte de domaine dans l’environnement de la victime.
- T1505.003 · Server Software Component: Web Shell: Le groupe Medusa a utilisé des web shells sur un serveur Microsoft Exchange exploité.
- T1543.003 · Create or Modify System Process: Windows Service: Le groupe Medusa a utilisé des pilotes vulnérables ou signés pour modifier des solutions de sécurité sur les appareils des victimes.
Élévation de privilèges (TA0004)
- T1484.001 · Domain or Tenant Policy Modification: Group Policy Modification: Les opérateurs de Medusa ont modifié les paramètres de la stratégie de domaine par défaut d’Active Directory pour outrepasser les paramètres de stratégie de groupe.
- T1543.003 · Create or Modify System Process: Windows Service: Le groupe Medusa a utilisé des pilotes vulnérables ou signés pour modifier des solutions de sécurité sur les appareils des victimes.
- T1548.002 · Abuse Elevation Control Mechanism: Bypass User Account Control: Le groupe Medusa a tenté de contourner l’UAC via l’interface Component Object Model (COM).
Furtivité (TA0005)
- T1006 · Direct Volume Access: Les opérateurs de Medusa utilisent vssadmin pour contourner les contrôles d’accès aux fichiers Windows et les outils de surveillance du système de fichiers afin d’obtenir des copies de ruches du registre.
- T1027 · Obfuscated Files or Information: Les opérateurs de Medusa obfusquent une chaîne en la découpant en morceaux référencés par une variable.
- T1027.002 · Obfuscated Files or Information: Software Packing: Le groupe Medusa a packé le code de pilotes noyau déposés avec le packer ASM Guard.
- T1027.010 · Obfuscated Files or Information: Command Obfuscation: Le groupe Medusa a obfusqué des scripts PowerShell en Base64, ainsi que le code de pilotes noyau déposés avec Safengine Shielden, qui rend le code aléatoire par mutations puis s’appuie sur un interpréteur de machine virtuelle embarqué pour l’exécuter.
- T1027.013 · Obfuscated Files or Information: Encrypted/Encoded File: Les opérateurs de Medusa utilisent une technique furtive bien connue qui exécute une commande encodée en base64.
- T1070 · Indicator Removal: Les opérateurs de Medusa suppriment leurs traces précédentes et les outils installés.
- T1070.003 · Indicator Removal: Clear Command History: Le groupe Medusa a effacé l’historique des commandes avec la commande PowerShell `Remove-Item (Get-PSReadlineOption).HistorySavePath`.
- T1070.004 · Indicator Removal: File Deletion: Le groupe Medusa a supprimé des outils précédemment installés.
- T1218.014 · System Binary Proxy Execution: MMC: Le groupe Medusa a utilisé Microsoft Management Console (MMC) pour faciliter le déplacement latéral et interagir localement ou à distance avec les appareils des victimes via `mmc.exe compmgmt.msc /computer:{hostname/ip}`.
- T1564.003 · Hide Artifacts: Hidden Window: Le groupe Medusa a utilisé la fonction d’API `ShowWindow` pour masquer la fenêtre en cours.
- T1564.012 · Hide Artifacts: File/Path Exclusions: Les opérateurs de Medusa opèrent dans des dossiers déjà exclus de l’analyse de Windows Defender.
Évasion des défenses (TA0005)
- T1562 · Impair Defenses: Emploie la ligne de commande WMIC pour supprimer les clichés instantanés.
- T1562.001 · Disable or Modify Tools: Termine les services ou processus liés aux antivirus et outils de sécurité.
- T1562.009 · Safe Mode Boot: Détourne le mode sans échec pour échapper à la détection sur les terminaux.
Accès aux identifiants (TA0006)
- T1003.001 · OS Credential Dumping: LSASS Memory: Le groupe Medusa a utilisé Mimikatz pour extraire LSASS et récolter des identifiants.
- T1003.003 · OS Credential Dumping: NTDS: Le groupe Medusa a accédé au fichier ntds.dit pour extraire des identifiants.
- T1110 · Brute Force: Utilise la force brute sur les mots de passe de comptes RDP locaux.
- T1558 · Steal or Forge Kerberos Tickets: Les opérateurs de Medusa volent des identifiants en copiant des fichiers de base de données Windows et en s’en servant pour forger des tickets Kerberos.
Découverte (TA0007)
- T1016 · System Network Configuration Discovery: Le groupe Medusa a obtenu les détails réseau de l’hôte avec la commande `cmd.exe /c ipconfig /all`.
- T1018 · Remote System Discovery: Le groupe Medusa a utilisé PDQ Inventory pour obtenir un inventaire des postes du réseau.
- T1033 · System Owner/User Discovery: Le groupe Medusa a utilisé PsExec pour exécuter `quser` et découvrir les informations de session des utilisateurs.
- T1046 · Network Service Discovery: Le groupe Medusa sait utiliser des binaires natifs détournés (LOTL) pour énumérer le réseau, et a aussi utilisé l’outil d’analyse public SoftPerfect Network Scanner (`netscan.exe`) pour découvrir les noms d’hôtes et services réseau.
- T1049 · System Network Connections Discovery: Les opérateurs de Medusa utilisent la commande netstat -a pour recueillir la liste des connexions réseau.
- T1057 · Process Discovery: Le groupe Medusa a utilisé une liste codée en dur de processus d’outils de sécurité, qu’il identifie et termine via un code IOCTL non documenté, 0x222094.
- T1069.002 · Permission Groups Discovery: Domain Groups: Le groupe Medusa a utilisé la commande `net group` pour interroger les groupes de domaine dans l’environnement de la victime.
- T1082 · System Information Discovery: Le groupe Medusa a utilisé `cmd.exe` pour identifier des informations système avec `cmd.exe /c systeminfo`.
- T1083 · File and Directory Discovery: Interroge des fichiers, dossiers et extensions de fichiers précis.
- T1087.001 · Account Discovery: Local Account: Le groupe Medusa a utilisé `net user` pour découvrir des comptes.
- T1135 · Network Share Discovery: Énumère les partages réseau.
- T1518.001 · Software Discovery: Security Software Discovery: Le groupe Medusa a détecté des solutions de sécurité à terminer ou supprimer sur l’appareil de la victime à l’aide de listes codées en dur de chaînes contenant les exécutables de produits de sécurité.
- T1652 · Device Driver Discovery: Le groupe Medusa a interrogé les pilotes de l’appareil de la victime avec la commande `driverquery`.
Déplacement latéral (TA0008)
- T1021 · Remote Services: Utilise des services distants pour l’ouverture de session et le déplacement latéral via RDP et SMB.
- T1021.001 · Remote Services: Remote Desktop Protocol: Le groupe Medusa a utilisé RDP pour le déplacement latéral et l’exfiltration de données, ainsi que l’exécutable `mstsc.exe` pour ses activités RDP via `mstsc.exe /v:{hostname/ip}`.
- T1072 · Software Deployment Tools: Le groupe Medusa a utilisé des solutions de déploiement et de gestion logicielle, dont BigFix et PDQ Deploy, pour déployer sa charge utile de chiffrement.
- T1570 · Lateral Tool Transfer: Le groupe Medusa a utilisé des services logiciels légitimes comme PDQ Deploy pour transférer des binaires et outils malveillants vers d’autres hôtes compromis de l’environnement cible.
Exfiltration (TA0010)
- T1045 · Exfiltration Over C2 Channel: Transfère des données vers des serveurs contrôlés par l’attaquant via un canal de commande et contrôle existant.
- T1048 · Exfiltration Over Alternative Protocol: Exfiltre des données via des protocoles alternatifs, comme FTP/SFTP, pour éviter la détection par les méthodes traditionnelles.
- T1567 · Exfiltration Over Web Service: Exfiltre des données via des services web comme des services cloud (par exemple Google Drive, Dropbox, etc.).
- T1567.002 · Exfiltration Over Web Service: Exfiltration to Cloud Storage: Le groupe Medusa a utilisé Rclone pour exfiltrer des données des environnements des victimes vers un stockage cloud.
Commande et contrôle (TA0011)
- T1071.001 · Application Layer Protocol: Web Protocols: Le groupe Medusa a communiqué via des shells inverses ou liés sur le port 443 (HTTPS).
- T1090.003 · Proxy: Multi-hop Proxy: Le groupe Medusa a utilisé des nœuds TOR pour ses communications.
- T1105 · Ingress Tool Transfer: Utilise certutil pour télécharger des fichiers malveillants.
- T1219 · Remote Access Tools: Le groupe Medusa a tiré parti de logiciels d’accès distant pour le déplacement latéral et l’exfiltration de données, et utilise notamment AnyDesk, Atera, ConnectWise, eHorus, N-Able, PDQ Deploy, PDQ Inventory, SimpleHelp et Splashtop.
- T1573.002 · Encrypted Channel: Asymmetric Cryptography: Le groupe Medusa a utilisé HTTPS pour la commande et le contrôle.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Utilise l’algorithme AES-256 pour chiffrer les fichiers de l’ordinateur.
- T1489 · Service Stop: Termine les processus et services liés aux serveurs de bases de données, de messagerie et de sauvegarde.
- T1490 · Inhibit System Recovery: Supprime les clichés instantanés et désactive la fonction de restauration du système de Windows.
- T1529 · System Shutdown/Reboot: Le groupe Medusa a éteint et chiffré manuellement des machines virtuelles.
- T1657 · Financial Theft: Le groupe Medusa a volé et chiffré les données des victimes pour les extorquer et obtenir une rançon.
Développement de ressources (TA0042)
- T1583.006 · Acquire Infrastructure: Web Services: Le groupe Medusa a utilisé un service d’hébergement de fichiers nommé filemail[.]com pour héberger un fichier zip contenant des charges utiles malveillantes qui ont facilité les actions suivantes.
- T1585.001 · Establish Accounts: Social Media Accounts: Le groupe Medusa a créé des comptes de réseaux sociaux, dont Telegram et X, pour rendre publiques ses activités.
- T1585.002 · Establish Accounts: Email Accounts: Le groupe Medusa a créé des comptes de messagerie utilisés dans les négociations de rançon.
- T1588.002 · Obtain Capabilities: Tool: Le groupe Medusa a obtenu et utilisé de nombreux services RMM ainsi que des outils d’analyse publics, dont Advanced IP Scanner et SoftPerfect Network Scanner pour la découverte des utilisateurs, systèmes et réseaux, et a aussi acquis des outils de commande et contrôle et d’évasion des défenses, notamment les outils de tunnellisation Ligolo et Cloudflared.
- T1608.002 · Stage Capabilities: Upload Tool: Le groupe Medusa a utilisé un service d’hébergement de fichiers appelé filemail[.]com pour héberger un fichier zip contenant un service RMM tel que ConnectWise.
- T1650 · Acquire Access: Le groupe Medusa a acheté des identifiants d’utilisateurs et d’autres données sensibles à des courtiers d’accès initial (IAB).
Affaiblissement des défenses (TA0112)
- T1112 · Modify Registry: Le groupe Medusa a modifié des clés du registre pour élever ses privilèges, assurer sa persistance et permettre l’accès à distance.
- T1553.002 · Subvert Trust Controls: Code Signing: Le groupe Medusa a utilisé des pilotes vulnérables ou signés pour arrêter ou supprimer des services associés aux outils EDR.
- T1685 · Disable or Modify Tools: Le groupe Medusa a arrêté des services antivirus avec l’exécutable gaze.exe et `psexec.exe`, et a aussi utilisé des codes de contrôle d’E/S (IOCTL) pour terminer et supprimer des processus d’outils de sécurité identifiés.
- T1686 · Disable or Modify System Firewall: Le groupe Medusa a utilisé PsExec pour exécuter des scripts batch modifiant les paramètres du pare-feu, et a aussi activé et modifié des règles de pare-feu pour autoriser les connexions RDP nécessaires au déplacement latéral et à l’interaction avec les appareils.
- T1690 · Prevent Command History Logging: Le groupe Medusa a supprimé l’historique des commandes PowerShell via le module PSReadLine en exécutant `Remove-Item (Get-PSReadlineOption).HistorySavePath`.
Outils
Vol d’identifiants
- Mimikatz
Évasion des défenses
- EDRSandBlast
- KillAV
- ThrottleStop driver
Découverte
- Advanced IP Scanner
- Navicat
- PDQ Inventory
- RoboCopy
- SoftPerfect NetScan
Exfiltration
- RClone
Outils natifs détournés
- BITSAdmin
- Process Explorer
- PsExec
Réseau et tunnels
- Cloudflared
- FRP
- Ligolo
- PuTTY
- RevSocks
Outils d’administration à distance
- AnyDesk
- Atera
- HCL BigFix
- N-Able
- PDQ Deploy
- ScreenConnect
- SimpleHelp
- Splashtop
- eHorus
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| Human Verify | DLS | kyfiw76eol6ph2mq7pi5e5tdvce37bicddhai62qhdc5ja6jdchz4qqd[.]onion | Non |
| Human Verify | DLS | s7lmmhlt3iwnwirxvgjidl6omcblvw2rg75txjfduy73kx5brlmiulad[.]onion | Non |
| — | DLS | 62foekhv5humjrfwjdyd2dgextpbf5i7obguhwvfoghmu3nxpkmxlcid[.]onion | Non |
| Medusa Chat | Chat | medusakxxtp3uo7vusntvubnytaph4d3amxivbggl3hnhpk2nmus34yd[.]onion | Non |
| 503 Service Temporarily Unavailable | DLS | dlmfciajg5s4vliyo5dhs5jyzhi2xr2fnkebul46lpf4xudtqiue4nid[.]onion | Non |
| Human Verify | DLS | cx5u7zxbvrfyoj6ughw76oa264ucuuizmmzypwum6ear7pct4yc723qd[.]onion | Non |
| Human Verify | DLS | xfv4jzckytb4g3ckwemcny3ihv4i5p4lqzdpi624cxisu35my5fwi5qd[.]onion | Non |
| — | DLS | 45[.]9[.]148[.]39 | Non |
| — | DLS | hupxs7ps7md24kpz4lwsbra64abgxjx3pcc2wuca5ibawf2g5hlpfyqd[.]onion | Non |
| Human Verify | DLS | medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd[.]onion | Non |
| — | DLS | 7aqabivkwmpvjkyefonf3gpy5gsubopqni7kcirsrq3pflckxq5zz4id[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11