En marzo de 2025, el FBI y la CISA publicaron una alerta conjunta sobre un grupo de ransomware. No es la primera vez que lo hacen. Lo hacen con frecuencia. Pero esta tenía un detalle que lo cambiaba todo: entre los afiliados del grupo estaba Lazarus Group, el actor estatal de Corea del Norte.
Un régimen con armas nucleares usando la misma plataforma de extorsión que un ciberdelincuente financiero. Así funciona el ecosistema del ransomware moderno.
El grupo se llama MEDUSA.
Qué es MEDUSA y qué no es
Lo primero: aclarar la confusión de nombres, porque hay tres cosas distintas que se llaman Medusa y se mezclan constantemente.
MEDUSA Ransomware (el protagonista de este artículo) es un grupo de Ransomware-as-a-Service (RaaS) activo desde junio de 2021. MITRE ATT&CK lo tiene catalogado como Grupo G1051 con el software S1244. No tiene designación APT – la etiqueta APT se reserva para actores con motivación de espionaje estatal, y Medusa, en su núcleo, es un negocio criminal.
MedusaLocker es una familia de ransomware completamente distinta y sin relación. El FBI lo ha confirmado explícitamente. El nombre similar ha creado confusión en medios y análisis.
Medusa Android es un troyano bancario para móviles. Tampoco tiene relación.
Decidí aclarar esto porque personalmente me vi en un «cacao» cuando me estaba documentando. Dicho esto, a lo importante.
Cómo funciona un RaaS y por qué MEDUSA es diferente
Un Ransomware-as-a-Service funciona como un negocio con dos capas. Los operadores desarrollan y mantienen el malware, la infraestructura de pago y el sitio de filtraciones. Los afiliados son los que ejecutan los ataques: acceden a las redes de las víctimas, despliegan el ransomware y se llevan un porcentaje del rescate – típicamente entre el 70% y el 80%.
La diferencia de MEDUSA frente a otros grupos RaaS es quién son sus afiliados.
La mayoría de grupos RaaS atraen a ciberdelincuentes financieros. MEDUSA también. Pero además ha documentado entre sus afiliados a Storm-1175 – designación de Microsoft para un cluster con base probable en China, capaz de pasar de la intrusión inicial al despliegue completo del ransomware en menos de 24 horas – y a Lazarus Group, el grupo estatal de Corea del Norte.
Lazarus no necesita presentación. Es APT38 en la nomenclatura de Mandiant. Depende del Reconnaissance General Bureau norcoreano. Su historial incluye el robo de 81 millones de dólares al Banco Central de Bangladesh, el ataque a Sony Pictures y la distribución global de WannaCry. Entre noviembre de 2025 y febrero de 2026, fue documentado usando la plataforma de MEDUSA para atacar organizaciones sanitarias y ONGs en Oriente Medio y EE. UU. – una fuente de financiación paralela para el régimen.
Un Estado soberano alquilando infraestructura criminal para generar divisas. Eso es lo que diferencia a MEDUSA.
Los números: 517 víctimas en 50 países
La alerta conjunta del FBI, la CISA y el MS-ISAC (referencia AA25-071A, publicada el 12 de marzo de 2025) registraba más de 300 víctimas en sectores de infraestructura crítica. A fecha de julio de 2026, la cifra en ransomware.live supera las 517 víctimas en 50 países.
Sectores más golpeados:
| Sector | Nº de ataques |
|---|---|
| Servicios empresariales | 97 |
| Sanidad | 63 |
| Manufactura | 54 |
| Educación | 45 |
Países más afectados: EE. UU. (262 víctimas), Reino Unido (38), Canadá (35), Italia (14), Australia (14).
España no aparece entre los primeros, pero la actividad del grupo en Europa es constante. Los ataques crecieron un 42% entre 2023 y 2024. En el primer trimestre de 2025, el ransomware en general subió un 126% interanual – 2.289 incidentes frente a 1.011 del mismo periodo del año anterior.
Un dato que llama la atención: el 31,1% de las víctimas de MEDUSA tenían datos previos robados por un infostealer. El acceso inicial no siempre viene de un ataque sofisticado – a veces viene de credenciales que llevan meses circulando en foros de venta de accesos.
Cómo entran y cómo se mueven
El acceso inicial de MEDUSA sigue tres vías principales: vulnerabilidades sin parchear, phishing y brokers de acceso inicial (IAB) – intermediarios que venden accesos a redes ya comprometidas.
Una vez dentro, el grupo aplica una táctica conocida como Living-off-the-Land (LotL): usar las propias herramientas del sistema para moverse sin levantar alertas. No traen malware exótico – abusan de software legítimo de administración remota que ya está instalado en la red de la víctima.
Herramientas de administración remota abusadas: AnyDesk, Atera, ScreenConnect, Splashtop, ConnectWise, SimpleHelp, PDQ Inventory.
Para credenciales: Mimikatz.
Para evadir el EDR: EDRSandBlast y KillAV – herramientas diseñadas específicamente para desactivar soluciones de seguridad.
Para la exfiltración de datos: RClone, que replica los archivos a almacenamiento en la nube controlado por el atacante antes de cifrar.
Vulnerabilidad documentada: CVE-2024-57727 en SimpleHelp RMM, identificada por Arctic Wolf como vector de entrada en ataques recientes.
La secuencia tipo: broker de acceso vende entrada > afiliado toma control > movimiento lateral con herramientas legítimas > desactivación del EDR > exfiltración con RClone > cifrado > nota de rescate.
La extorsión: doble, y a veces triple
MEDUSA aplica doble extorsión: cifra los datos y amenaza con publicarlos si no se paga el rescate. Tienen un sitio de filtraciones en la dark web donde publican los datos de las víctimas que no pagan.
En algunos casos documentados van más lejos: triple extorsión, presionando también a clientes, socios o terceros vinculados a la víctima para ampliar el impacto y acelerar el pago.
Los rescates conocidos oscilan entre 100.000 y 15 millones de dólares, dependiendo del tamaño de la víctima. El contacto se realiza a través de correos en dominios anónimos (`MedusaSupport@cock.li`, `medusa.support@onionmail.org`), un canal de Telegram y múltiples identificadores TOX.
Qué hacer frente a MEDUSA
La alerta AA25-071A de la CISA es clara en sus recomendaciones. No son complicadas – son las de siempre, pero en el contexto de un grupo activo con 517 víctimas documentadas:
1. Parchear sin demora. El vector de entrada más frecuente son vulnerabilidades conocidas sin aplicar. El CVE-2024-57727 de SimpleHelp era público antes de que MEDUSA lo explotara masivamente. Las alertas de la CISA de vulnerabilidades conocidas explotadas (KEV) son una lista de priorización, no de lectura opcional.
2. Controlar el acceso remoto. Si AnyDesk, ScreenConnect o cualquier RMM está instalado en tu red, tiene que estar inventariado, con acceso restringido y monitorizado. MEDUSA los usa porque ya están ahí.
3. Detección de credenciales comprometidas. Casi un tercio de las víctimas tenían credenciales previas robadas por infostealers. Servicios como Have I Been Pwned o plataformas de threat intelligence permiten saber si hay credenciales de tu organización circulando.
4. Segmentación de red. Limita el movimiento lateral. Si un atacante entra por un equipo, no debería poder llegar al servidor de backups, al controlador de dominio y al sistema de archivos en la misma sesión.
5. Backups offline verificados. Si los backups están conectados a la red, MEDUSA los cifra también. El backup que salva la situación es el que está desconectado y ha sido restaurado al menos una vez para verificar que funciona.
6. Monitorizar herramientas legítimas. Mimikatz, RClone, EDRSandBlast – si aparecen en tu red y no los has instalado tú, hay un problema. Un buen SIEM con reglas actualizadas debería alertar de su ejecución.
Por qué importa más allá de los titulares
MEDUSA no es el grupo de ransomware más sofisticado técnicamente. No lo necesita ser. Su modelo de negocio – plataforma abierta a cualquier afiliado con suficiente capacidad técnica y pocas preguntas sobre quién eres – es lo que lo hace peligroso.
Que Lazarus Group use la misma infraestructura que un delincuente financiero de Europa del Este no es un accidente. Es una señal de cómo está evolucionando el ecosistema: las fronteras entre cibercrimen y ciberguerra son cada vez más difusas, y las herramientas y la infraestructura se comparten.
Para el que defiende redes, eso significa que el nivel de amenaza ya no depende del tamaño de la víctima. Una organización sanitaria mediana puede ser objetivo tanto de un delincuente que busca dinero fácil como de un actor estatal que necesita financiación para su régimen. La motivación es diferente. El método de entrada es el mismo.
