Medusa Ransomware: Análisis forense del RaaS que ha impactado a más de 500 organizaciones de infraestructura crítica y medidas de prevención prioritarias
Por Raymond Orta Martínez
Perito en Informática Forense y Documentoscopia
InformáticaForense.com
En agosto de 2026, la Cybersecurity and Infrastructure Security Agency (CISA), el FBI y el Departamento de Salud y Servicios Humanos de Estados Unidos (HHS) actualizaron su alerta conjunta StopRansomware: Medusa Ransomware (AA25-071A). El documento, basado en investigaciones del FBI hasta abril de 2026, confirma que este grupo de ransomware-as-a-service (RaaS) ha afectado a más de 500 víctimas en sectores de infraestructura crítica, con especial incidencia en Healthcare and Public Health.
Aunque Medusa no es un “virus nuevo” en sentido estricto —fue identificado por primera vez en junio de 2021—, su evolución hacia un modelo de afiliados, la velocidad con la que explotan vulnerabilidades recién divulgadas y el uso intensivo de técnicas living-off-the-land lo convierten en una amenaza prioritaria para cualquier organización que maneje datos sensibles o sistemas críticos. Desde la perspectiva de la informática forense, su análisis no se limita a la encriptación: incluye la preservación de la cadena de custodia, la identificación de artefactos residuales y la reconstrucción de la línea de tiempo del ataque.
¿Qué es Medusa y cómo opera?
Medusa es un RaaS que opera bajo un modelo de doble extorsión: primero exfiltran datos y luego cifran los sistemas, amenazando con publicar la información en su sitio de filtraciones si no se paga el rescate. Inicialmente funcionó como grupo cerrado; desde al menos 2023 adoptó el modelo de afiliados, reclutando Initial Access Brokers (IABs) a los que ofrece entre 100 y 1 millón de dólares, con mejores condiciones para quienes trabajen de forma exclusiva.
El acceso inicial se logra principalmente mediante:
- Phishing orientado a robo de credenciales.
- Explotación de vulnerabilidades en servicios expuestos a Internet, entre las que destacan:
- CVE-2024-1709 (ScreenConnect – bypass de autenticación).
- CVE-2023-48788 (Fortinet EMS – inyección SQL).
- CVE-2025-10035 (Fortra GoAnywhere – deserialización).
- CVE-2026-1731 (BeyondTrust – inyección de comandos OS).
Los actores de Medusa han demostrado capacidad para aprovechar exploits en un plazo de 24 horas tras su anuncio público e, incluso, hasta una semana antes de la divulgación formal. No hay evidencias de que desarrollen zero-days propios; adquieren o reutilizan exploits de forma oportunista. Utilizan dominios Interactsh (oast.site, oast.pro, oast.fun) para verificar el éxito de la explotación.
Una vez dentro, privilegián técnicas living-off-the-land y herramientas legítimas de gestión remota (AnyDesk, Atera, ConnectWise, SimpleHelp, Splashtop, BeyondTrust, entre otras), combinadas con RDP y PsExec para movimiento lateral. Emplean PowerShell ofuscado, Mimikatz (incluyendo mimilib.dll para registro de credenciales), dump de LSASS vía comsvcs.dll, creación de Volume Shadow Copies para extracción de ntds.dit y modificación de políticas de grupo.
El cifrado propiamente dicho se ejecuta mediante el binario gaze.exe (o gaze.py en entornos Linux). Este proceso:
- Detiene servicios de backup, seguridad, bases de datos y comunicación.
- Elimina Volume Shadow Copies.
- Cifra con AES-256.
- Añade la extensión .medusa .
- Deja la nota de rescate !!!READ_ME_MEDUSA!!!.txt en cada directorio afectado.
Las víctimas disponen de 48 horas para contactar a través de chat Tor o Tox; de lo contrario, los actores inician contacto directo y publican datos en su leak site con contador regresivo (ampliable mediante pago de 10.000 USD diarios).
Artefactos de interés forense
Desde el punto de vista de la informática forense, los indicadores más relevantes incluyen:
- Archivos cifrados con extensión .medusa.
- Nota de rescate !!!READ_ME_MEDUSA!!!.txt.
- Presencia de gaze.exe / gaze.py.
- Scripts como openrdp.bat, command.cmd, RunFileCopy.cmd.
- Herramientas de RMM legítimas instaladas de forma anómala.
- Registros de PowerShell ofuscado, historial de comandos eliminado y exclusiones de Windows Defender modificadas.
- Uso de Rclone (a veces renombrado) para exfiltración.
- Modificaciones en el registro (Security Packages, Terminal Server, etc.).
La preservación inmediata de evidencias volátiles, logs de autenticación, timeline de creación/modificación de archivos y hashes de los binarios residuales resulta crítica para cualquier posterior pericia o investigación judicial.
Medidas de prevención prioritarias
Las recomendaciones oficiales de CISA/FBI/HHS, complementadas con buenas prácticas forenses, se agrupan en las siguientes líneas de acción:
- Gestión de vulnerabilidades y superficie de ataque
Aplicar parches de sistemas operativos, firmware y aplicaciones expuestas a Internet en plazos muy cortos (idealmente dentro de las 24-72 horas siguientes a la publicación de CVEs críticos). Priorizar los productos mencionados (ScreenConnect, Fortinet EMS, GoAnywhere, BeyondTrust y equivalentes). - Segmentación de red y control de acceso
Implementar segmentación que limite el movimiento lateral. Bloquear o filtrar estrictamente el acceso a servicios remotos (RDP, RMM, SSH, etc.) desde orígenes no confiables. Aplicar el principio de mínimo privilegio y zero-trust en conexiones remotas. - Autenticación multifactor resistente a phishing
Desplegar MFA phishing-resistant (FIDO2/WebAuthn o certificados) en todos los accesos privilegiados y servicios remotos. Eliminar o restringir cuentas con contraseñas reutilizadas o débiles. - Copias de seguridad inmutables y offline
Mantener backups offline, cifrados e inmutables (WORM o con retención de snapshots). Probar periódicamente la restauración. Los backups conectados a la red son el primer objetivo de gaze.exe. - Detección y monitorización
Supervisar de forma continua la instalación o uso anómalo de herramientas RMM, ejecución de PowerShell ofuscado, creación de cuentas locales/dominio, modificación de exclusiones de antivirus y actividad de Rclone o herramientas de archivado masivo. Incorporar los IOCs actualizados de la alerta AA25-071A en las soluciones de detección. - Preparación forense y respuesta
Disponer de un plan de respuesta a incidentes que incluya preservación inmediata de evidencia (imágenes forenses de discos, captura de memoria, logs centralizados), cadena de custodia documentada y contacto con autoridades (en Venezuela, las instancias correspondientes de investigación cibernética). No pagar el rescate: no garantiza la recuperación ni evita la filtración, y financia la continuidad del RaaS.
Consideraciones finales desde la práctica pericial
Medusa ilustra perfectamente la convergencia entre el ransomware moderno y las técnicas de acceso inicial comercializadas. Su éxito no depende de malware especialmente sofisticado, sino de la velocidad de explotación, el uso de herramientas legítimas y la falta de higiene básica en la gestión de parches y segmentación.
Como perito en informática forense, recomiendo a las organizaciones:
- Realizar ejercicios de tabletop y red team específicos contra este tipo de TTPs.
- Mantener un inventario actualizado de activos expuestos y de software de gestión remota autorizado.
- Documentar de forma rigurosa cualquier incidente, preservando hashes, timestamps y logs, de modo que la evidencia sea admisible en eventuales procesos judiciales o dictámenes periciales.
La prevención sigue siendo la mejor estrategia. La detección temprana y la respuesta forense disciplinada son las únicas vías para limitar el daño cuando la prevención falla.
Raymond Orta Martínez
Perito en Informática Forense y Grafotécnica
InformáticaForense.com
Caracas – Atlanta
Fuentes principales: Alerta conjunta CISA/FBI/HHS AA25-071A (actualización 18 de agosto de 2026) y análisis técnicos derivados de las investigaciones oficiales.
Atentamente, Raymond Orta Martinez Medusa Ransomware: Análisis forense del RaaS que ha impactado a más de 500 organizaciones de infraestructura crítica y medidas de prevención prioritarias
Por Raymond Orta Martínez
Perito en Informática Forense y Documentoscopia
InformáticaForense.com
En agosto de 2026, la Cybersecurity and Infrastructure Security Agency (CISA), el FBI y el Departamento de Salud y Servicios Humanos de Estados Unidos (HHS) actualizaron su alerta conjunta StopRansomware: Medusa Ransomware (AA25-071A). El documento, basado en investigaciones del FBI hasta abril de 2026, confirma que este grupo de ransomware-as-a-service (RaaS) ha afectado a más de 500 víctimas en sectores de infraestructura crítica, con especial incidencia en Healthcare and Public Health.
Aunque Medusa no es un “virus nuevo” en sentido estricto —fue identificado por primera vez en junio de 2021—, su evolución hacia un modelo de afiliados, la velocidad con la que explotan vulnerabilidades recién divulgadas y el uso intensivo de técnicas living-off-the-land lo convierten en una amenaza prioritaria para cualquier organización que maneje datos sensibles o sistemas críticos. Desde la perspectiva de la informática forense, su análisis no se limita a la encriptación: incluye la preservación de la cadena de custodia, la identificación de artefactos residuales y la reconstrucción de la línea de tiempo del ataque.
¿Qué es Medusa y cómo opera?
Medusa es un RaaS que opera bajo un modelo de doble extorsión: primero exfiltran datos y luego cifran los sistemas, amenazando con publicar la información en su sitio de filtraciones si no se paga el rescate. Inicialmente funcionó como grupo cerrado; desde al menos 2023 adoptó el modelo de afiliados, reclutando Initial Access Brokers (IABs) a los que ofrece entre 100 y 1 millón de dólares, con mejores condiciones para quienes trabajen de forma exclusiva.
El acceso inicial se logra principalmente mediante:
- Phishing orientado a robo de credenciales.
- Explotación de vulnerabilidades en servicios expuestos a Internet, entre las que destacan:
- CVE-2024-1709 (ScreenConnect – bypass de autenticación).
- CVE-2023-48788 (Fortinet EMS – inyección SQL).
- CVE-2025-10035 (Fortra GoAnywhere – deserialización).
- CVE-2026-1731 (BeyondTrust – inyección de comandos OS).
Los actores de Medusa han demostrado capacidad para aprovechar exploits en un plazo de 24 horas tras su anuncio público e, incluso, hasta una semana antes de la divulgación formal. No hay evidencias de que desarrollen zero-days propios; adquieren o reutilizan exploits de forma oportunista. Utilizan dominios Interactsh (oast.site, oast.pro, oast.fun) para verificar el éxito de la explotación.
Una vez dentro, privilegián técnicas living-off-the-land y herramientas legítimas de gestión remota (AnyDesk, Atera, ConnectWise, SimpleHelp, Splashtop, BeyondTrust, entre otras), combinadas con RDP y PsExec para movimiento lateral. Emplean PowerShell ofuscado, Mimikatz (incluyendo mimilib.dll para registro de credenciales), dump de LSASS vía comsvcs.dll, creación de Volume Shadow Copies para extracción de ntds.dit y modificación de políticas de grupo.
El cifrado propiamente dicho se ejecuta mediante el binario gaze.exe (o gaze.py en entornos Linux). Este proceso:
- Detiene servicios de backup, seguridad, bases de datos y comunicación.
- Elimina Volume Shadow Copies.
- Cifra con AES-256.
- Añade la extensión .medusa .
- Deja la nota de rescate !!!READ_ME_MEDUSA!!!.txt en cada directorio afectado.
Las víctimas disponen de 48 horas para contactar a través de chat Tor o Tox; de lo contrario, los actores inician contacto directo y publican datos en su leak site con contador regresivo (ampliable mediante pago de 10.000 USD diarios).
Artefactos de interés forense
Desde el punto de vista de la informática forense, los indicadores más relevantes incluyen:
- Archivos cifrados con extensión .medusa.
- Nota de rescate !!!READ_ME_MEDUSA!!!.txt.
- Presencia de gaze.exe / gaze.py.
- Scripts como openrdp.bat, command.cmd, RunFileCopy.cmd.
- Herramientas de RMM legítimas instaladas de forma anómala.
- Registros de PowerShell ofuscado, historial de comandos eliminado y exclusiones de Windows Defender modificadas.
- Uso de Rclone (a veces renombrado) para exfiltración.
- Modificaciones en el registro (Security Packages, Terminal Server, etc.).
La preservación inmediata de evidencias volátiles, logs de autenticación, timeline de creación/modificación de archivos y hashes de los binarios residuales resulta crítica para cualquier posterior pericia o investigación judicial.
Medidas de prevención prioritarias
Las recomendaciones oficiales de CISA/FBI/HHS, complementadas con buenas prácticas forenses, se agrupan en las siguientes líneas de acción:
- Gestión de vulnerabilidades y superficie de ataque
Aplicar parches de sistemas operativos, firmware y aplicaciones expuestas a Internet en plazos muy cortos (idealmente dentro de las 24-72 horas siguientes a la publicación de CVEs críticos). Priorizar los productos mencionados (ScreenConnect, Fortinet EMS, GoAnywhere, BeyondTrust y equivalentes). - Segmentación de red y control de acceso
Implementar segmentación que limite el movimiento lateral. Bloquear o filtrar estrictamente el acceso a servicios remotos (RDP, RMM, SSH, etc.) desde orígenes no confiables. Aplicar el principio de mínimo privilegio y zero-trust en conexiones remotas. - Autenticación multifactor resistente a phishing
Desplegar MFA phishing-resistant (FIDO2/WebAuthn o certificados) en todos los accesos privilegiados y servicios remotos. Eliminar o restringir cuentas con contraseñas reutilizadas o débiles. - Copias de seguridad inmutables y offline
Mantener backups offline, cifrados e inmutables (WORM o con retención de snapshots). Probar periódicamente la restauración. Los backups conectados a la red son el primer objetivo de gaze.exe. - Detección y monitorización
Supervisar de forma continua la instalación o uso anómalo de herramientas RMM, ejecución de PowerShell ofuscado, creación de cuentas locales/dominio, modificación de exclusiones de antivirus y actividad de Rclone o herramientas de archivado masivo. Incorporar los IOCs actualizados de la alerta AA25-071A en las soluciones de detección. - Preparación forense y respuesta
Disponer de un plan de respuesta a incidentes que incluya preservación inmediata de evidencia (imágenes forenses de discos, captura de memoria, logs centralizados), cadena de custodia documentada y contacto con autoridades (en Venezuela, las instancias correspondientes de investigación cibernética). No pagar el rescate: no garantiza la recuperación ni evita la filtración, y financia la continuidad del RaaS.
Consideraciones finales desde la práctica pericial
Medusa ilustra perfectamente la convergencia entre el ransomware moderno y las técnicas de acceso inicial comercializadas. Su éxito no depende de malware especialmente sofisticado, sino de la velocidad de explotación, el uso de herramientas legítimas y la falta de higiene básica en la gestión de parches y segmentación.
Como perito en informática forense, recomiendo a las organizaciones:
- Realizar ejercicios de tabletop y red team específicos contra este tipo de TTPs.
- Mantener un inventario actualizado de activos expuestos y de software de gestión remota autorizado.
- Documentar de forma rigurosa cualquier incidente, preservando hashes, timestamps y logs, de modo que la evidencia sea admisible en eventuales procesos judiciales o dictámenes periciales.
La prevención sigue siendo la mejor estrategia. La detección temprana y la respuesta forense disciplinada son las únicas vías para limitar el daño cuando la prevención falla.
Raymond Orta Martínez
Perito en Informática Forense y Grafotécnica
InformáticaForense.com
Caracas – Atlanta
Fuentes principales: Alerta conjunta CISA/FBI/HHS AA25-071A (actualización 18 de agosto de 2026) y análisis técnicos derivados de las investigaciones oficiales.