Vue d’ensemble
MedusaLocker est une opération de rançongiciel en tant que service observée pour la première fois en 2019. Un avis conjoint de la CISA, du FBI, du Trésor américain et du MS-ISAC (AA22-181A, 2022) décrit ses acteurs comme s’appuyant surtout sur des configurations RDP vulnérables pour l’accès initial, avec l’hameçonnage et les pièces jointes de spam comme seconde voie. Le groupe pratique la double extorsion et travaille avec des affiliés.
- Premier suivi: 2022-11-15
- Citée dans nos rapports: France
Géographie : origine et cibles
Aucune attribution publique de l’origine. Les lignes ne sont tracées que lorsque des sources publiques situent les opérateurs ; les drapeaux montrent les pays où le groupe a revendiqué des victimes, dimensionnés selon le nombre de revendications.
États-Unis d'Amérique11
Allemagne5
Brésil4
Canada4
France4
Royaume-Uni4
Émirats Arabes Unis3
Suisse2
Espagne2
Inde2
Vulnérabilités exploitées
Aucun élément recensé dans les sources examinées.
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
| Élévation de privilèges |
|---|
| Parent PID Spoofing |
Détail des techniques
Outils
- Invoke-TheHash
- Mimikatz
- HRSword
- PCHunter
- ProcessHacker
- Advanced IP Scanner
- Advanced Port Scanner
- SoftPerfect NetScan
- PsExec
- Impacket
- Remote Desktop Plus (RDP+)
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| File Manager | DLS | t33zoj4qwv455fog7qnb2azi5xcdxkixughmmduzbw2rtdgryqfbh6id[.]onion | Oui |
| Human Verify | DLS | medusaxko7jxtrojdkxo66j7ck4q5tgktf7uqsqyfry4ebnxlcbkccyd[.]onion | Non |
| — | DLS | qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd[.]onion | Non |
| Medusa Chat | Chat | 95[.]143[.]191[.]148:3000 | Non |
| Ransomware blog – We will not give ourselves a name. Just watch out for the leakage of your data:) | DLS | z6wkgghtoawog5noty5nxulmmt2zs7c3yvwr22v4czbffdoly2kl4uad[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11