Dentro de Medusa: Cómo una despiadada banda de ransomware ataca antes de que el mundo lo sepa

Al amanecer, la red de un hospital funciona a pleno rendimiento. Al atardecer, está paralizada: los historiales de los pacientes bloqueados, los administradores impotentes y los médicos obligados a volver al papel y bolígrafo. Esta es la realidad a la que se enfrentan las organizaciones objetivo de Medusa, un grupo de ransomware que está redefiniendo el cibercrimen con una velocidad y precisión alarmantes. Según una nueva investigación de Microsoft, los hackers de Medusa no solo explotan debilidades conocidas: irrumpen por puertas digitales antes de que nadie más sepa que están abiertas, a menudo en cuestión de horas tras descubrirse una vulnerabilidad.

Los analistas de amenazas de Microsoft llevan tiempo dando la voz de alarma: Medusa no solo es rápida, es quirúrgica. En varios casos recientes, los atacantes pasaron de vulnerar una red a exfiltrar datos sensibles y desplegar ransomware en menos de un día. ¿El secreto de su velocidad? Vulnerabilidades de día cero: agujeros de seguridad en software popular que se descubren y se convierten en armas antes que el resto del mundo, a veces incluso antes de que los propios creadores del software sean conscientes.

El manual de Medusa es escalofriantemente eficaz. Cuando se descubre un nuevo fallo - como el reciente CVE-2026-23760 en SmarterMail o el CVE-2025-10035 en GoAnywhere Managed File Transfer - el grupo escanea rápidamente Internet en busca de sistemas expuestos. Atacan antes de que existan parches o estos se apliquen de forma generalizada, y se centran en organizaciones con infraestructuras críticas de cara al público: hospitales, escuelas, bufetes de abogados e instituciones financieras. Una vez dentro, crean nuevas cuentas de usuario para asegurar el acceso continuado y utilizan herramientas legítimas de gestión remota como ConnectWise ScreenConnect, AnyDesk y SimpleHelp para camuflarse entre la actividad autorizada de TI.

Aunque los ataques de Medusa pueden concluir en solo 24 horas, la mayoría de las campañas duran varios días, maximizando la disrupción y la presión para el pago del rescate. Los recientes golpes al Centro Médico de la Universidad de Mississippi y al condado de Passaic, Nueva Jersey, obligaron a una intervención federal de emergencia y a cierres de varios días. Los expertos señalan las raíces rusas del grupo - evidentes en sus herramientas operativas, conversaciones en foros y una notable evitación de objetivos en la Comunidad de Estados Independientes - . De forma intrigante, el gigante de la ciberseguridad Symantec incluso ha observado al notorio grupo Lazarus de Corea del Norte desplegando el malware de Medusa, lo que sugiere posibles alianzas o acuerdos de malware por encargo en el oscuro ecosistema del ransomware.

A medida que bandas de ransomware como Medusa aceleran sus ataques, las organizaciones se enfrentan a una ventana cada vez más reducida para parchear vulnerabilidades y proteger sus activos digitales. El mensaje de los expertos es claro: conocer la exposición de tu red y actuar rápido ya no es opcional, es cuestión de supervivencia.

El campo de batalla cibernético está cambiando, y la despiadada eficiencia de Medusa es una llamada de atención. En un mundo donde los atacantes pueden convertir secretos en armas antes de que sean secretos, los defensores deben adaptarse - o arriesgarse a ser el próximo titular.

WIKICROOK

• Zero: Una vulnerabilidad de día cero es un fallo de seguridad oculto, desconocido para el fabricante del software y sin solución disponible, lo que la hace extremadamente valiosa y peligrosa para los atacantes.
• Ransomware: El ransomware es un software malicioso que cifra o bloquea datos, exigiendo un pago a las víctimas para restaurar el acceso a sus archivos o sistemas.
• Herramientas de gestión remota: Las herramientas de gestión remota permiten al personal de TI acceder y controlar ordenadores a distancia para soporte y mantenimiento, pero pueden ser mal utilizadas por hackers para acceder de forma sigilosa.
• Exfiltración de datos: La exfiltración de datos es la transferencia no autorizada de información sensible desde el sistema de la víctima al control del atacante, a menudo con fines maliciosos.
• Comunidad de Estados Independientes (CEI): La CEI es un grupo de antiguas repúblicas soviéticas, a menudo excluidas de los ciberataques por parte de hackers radicados en Rusia debido a lazos regionales y consideraciones legales.