Medusa 勒索病毒解密与数据恢复

Medusa 勒索病毒最早于 2021 年 6 月被识别，最初由单一团伙闭环运营；2023 年前后转向 RaaS 模式，引入附属成员与初始访问经纪人（IAB），攻击量随之扩大。赛门铁克把其运营方追踪为 Spearwing。CISA、FBI 与 MS-ISAC 于 2025 年 3 月发布 #StopRansomware 联合公告（AA25-071A），此后随新漏洞被利用而持续更新。

它最鲜明的运营特征是施压方式的产品化。Medusa 维护名为 Medusa Blog 的 .onion 泄露站点，为每个受害者设置公开倒计时，并把各种「选项」明码标价：延长倒计时、单独删除数据、直接购买数据，均在站点上标价展示；公告还记录了直接给出关联加密货币钱包的做法。除加密与泄露外，公开报告中还出现过三重勒索情形——即已支付赎金的受害者被另一名自称 Medusa 成员的人再次索要，理由是「谈判人私吞了款项」。这从反面说明了一件事：支付并不构成任何保障。

在受害行业上，Medusa 覆盖医疗卫生、教育、制造、政府、信息技术、法律与保险等，医疗与公共卫生是被点名的高频受害领域。其攻击对象既有中小企业，也有拥有完整虚拟化平台的大型机构。

对国内企业的参考意义主要在入口选择：Medusa 反复利用的是远程管理与文件传输类组件的漏洞——ScreenConnect、Fortinet EMS、Fortra GoAnywhere、BeyondTrust 等。这类系统在国内常由 IT 外包或 MSP 统一维护，更新滞后、暴露在公网、又天然拥有高权限，一旦被突破就直达内网核心。与其记住家族名字，不如把这类「运维通道类系统」的版本与暴露面纳入常态巡检。

后缀特征：加密后文件统一追加 .MEDUSA（部分样本为小写 .medusa）。这是最直接的标志，但请注意与 MedusaLocker（常用 .encrypted、.dever、.lockfilesKR 等后缀）区分——二者是不同家族，处置与恢复路径不同。

勒索信：文件名固定为 !!!READ_ME_MEDUSA!!!.txt，内容要求受害者在 48 小时内通过 Tor 实时聊天或 Tox 联系，并给出泄露站点链接与倒计时说明。这种「固定信名 + 48 小时 + Tox」组合是 Medusa 的可靠识别点。

主机侧痕迹：

• 通过 vssadmin 删除卷影副本；
• 大量使用「就地取材」（LOLBins）：PowerShell、certutil、bitsadmin、PsExec、WMI、RDP 横向；
• 借助合法远控工具（AnyDesk、Atera、Splashtop、ConnectWise 等）保持驻留；
• 使用携带易受攻击驱动（BYOVD）的手法关闭 EDR，公开分析中记录了伪装成知名安全厂商驱动名的签名驱动；
• Windows 事件日志被清理，防火墙规则被修改以放行 RDP。

泄露站点特征：受害者被挂上 Medusa Blog，页面带公开倒计时，并明码标价「延期 / 删除 / 购买数据」——若在泄露站点上看到这种计价结构，基本可以确认家族。

虚拟化痕迹：ESXi/vCenter 上虚拟机批量关机、数据存储文件被加密、共享目录被遍历加密。

Medusa 的入口可以概括为两条线：买账号与打运维通道。

1. 初始访问经纪人与钓鱼。公告明确记录 Medusa 通过 IAB 购买现成访问权限，并配合钓鱼邮件窃取凭据。这意味着很多受害者在「被加密」之前很久，凭据就已经在地下市场流通。

2. 远程管理与文件传输组件漏洞（Medusa 最具代表性的入口）：

• CVE-2024-1709：ConnectWise ScreenConnect 身份验证绕过；
• CVE-2023-48788：Fortinet FortiClient EMS 的 SQL 注入；
• CVE-2025-10035：Fortra GoAnywhere MFT 反序列化漏洞；
• CVE-2026-1731：BeyondTrust 远程代码执行；
• CVE-2026-23760：SmarterTools SmarterMail 身份验证绕过（零日）——微软 2026 年 4 月将其归因于 Medusa 附属成员 Storm-1175。

需要特别注意利用节奏：Storm-1175 对 GoAnywhere CVE-2025-10035 的利用早于补丁发布一周以上，等厂商公告再排期打补丁并不足以避开这类入口。

这些系统的共同点是：常年暴露在公网、天然持有跨主机的高权限、在企业内被视为「运维基础设施」而非「业务系统」，补丁优先级往往被排在后面。Medusa 反复押注于此。

3. 弱口令与无 MFA 的 RDP/VPN。配合从浏览器与凭据仓库窃取的账号横向扩散。

进入内网后：用 LOLBins（PowerShell、certutil、bitsadmin、WMI）尽量避免落地自研工具 → 借合法远控软件建立冗余通道 → BYOVD 关闭 EDR → 枚举并破坏备份、删除卷影副本 → 外传数据 → 在非工作时段通过 PsExec / 计划任务 / GPO 批量投放加密器，并处理 ESXi 与网络共享。

因为大量使用系统自带工具，Medusa 的前期活动在传统告警里常常「看起来像运维」，这也是它经常直到加密才被发现的原因。

算法：AES-256 加密文件内容，RSA 负责密钥交换与封装。密钥材料仅攻击者可解，密文侧无公开可利用缺陷。

加密范围：本地磁盘、映射的网络驱动器、可达的 SMB/NFS 共享与 NAS 目录，以及 ESXi 数据存储中的虚拟机文件。对大文件通常采用部分加密以提高速度，具体覆盖策略与比例随版本和参数变化，必须逐例实测——这也决定了 vmdk 与数据库文件里还剩多少可用原始数据。

破坏与反取证动作：

• 使用 vssadmin 删除卷影副本，切断最便捷的本地回滚；
• 停止并禁用数据库、邮件、备份代理与安全服务；
• 以 BYOVD 方式加载易受攻击的签名驱动关闭 EDR；
• 清理 Windows 事件日志、修改防火墙规则放行 RDP；
• 大量使用系统自带工具（LOLBins），减少可被检测的落地文件。

勒索与施压模型：

• 勒索信要求 48 小时内联系，逾期在 Medusa Blog 公开挂出并启动倒计时；
• 倒计时可付费延长（按天计价），另有「单独删除数据」「直接购买数据」等标价选项；
• 存在三重勒索的公开记录：已付款受害者被自称同伙者二次索要。

因此在 Medusa 案例里，「支付」不仅不能保证解密与删除，甚至可能引来二次勒索——这一点在制定处置策略时必须向决策层讲清楚。