CISA, FBI en HHS tellen ruim 500 slachtoffers van Medusa-ransomware

Medusa-ransomware heeft sinds juni 2021 meer dan 500 organisaties geraakt, melden CISA, de FBI en het Amerikaanse ministerie van Volksgezondheid (HHS) in een bijgewerkt gezamenlijk advies van 18 augustus.

De sectoren die de drie diensten opsommen, zorg, defensietoeleveranciers, maakindustrie, overheidsdiensten, IT en financiële dienstverlening, lopen bijna één op één gelijk met de sectoren die in Nederland onder de Cyberbeveiligingswet vallen. Wat het advies daaraan toevoegt is geen nieuw lek om vanavond te patchen, maar een beeld van hoe de groep binnenkomt: via ongepatchte software die aan het internet hangt en via de beheersoftware waarmee een IT-partner op afstand inlogt. Daarmee liggen er drie vragen op tafel die niet bij de systeembeheerder alleen thuishoren. Wie mag er van buitenaf bij je beheertools. Hoe snel staat een patch er echt op. En overleeft je back-up een aanvaller die al domeinbeheerder is.

Van 300 naar 500 slachtoffers, en HHS tekent mee

Het advies AA25-071A verscheen in maart 2025 en telde toen ruim 300 getroffen organisaties in vitale sectoren. De versie van 18 augustus zet de teller op meer dan 500, gemeten tot april 2026, oftewel ruim 200 nieuwe slachtoffers in een jaar tijd. Buiten die vitale sectoren noemt het advies ook medische praktijken, onderwijs, advocatuur, verzekeraars, technologiebedrijven en industrie.

Nieuw is ook wie er meetekent. HHS is deze keer mede-ondertekenaar en levert de inzichten over aanvallen op zorgorganisaties. De technische bijlage is verder flink uitgebreid: met de betaalranges voor toegangsmakelaars, een langere lijst misbruikte kwetsbaarheden, de manier waarop de groep verifieert of een exploit is geslaagd, en het gereedschap dat ze inzet om onzichtbaar te blijven. Toegangsmakelaars krijgen tussen de 100 en 1 miljoen dollar betaald, en de meesten werken tegelijk voor andere ransomwaregroepen.

Binnen 24 uur na een bekendgemaakt lek

Medusa bouwt geen eigen zerodays, maar misbruikt nieuw aangekondigde exploits binnen 24 uur en is ook gezien met exploits tot een week voor de openbaarmaking. Het advies noemt als recent voorbeeld CVE-2026-1731, een commando-injectie in BeyondTrust Remote Support en oudere versies van Privileged Remote Access, die op 6 februari 2026 werd gepubliceerd met een CVSS-score van 9,9. CISA zette dat lek een week later in haar catalogus van actief misbruikte kwetsbaarheden, met een hersteldeadline van drie dagen voor federale diensten. Eerder stonden lekken in ScreenConnect, Fortinet EMS en Fortra GoAnywhere op de lijst.

Dat zijn geen obscure producten. Het zijn de pakketten voor beheer op afstand en bestandsoverdracht die ook Nederlandse IT-afdelingen en MSP's draaien, vaak aan de internetkant, vaak namens meerdere klanten tegelijk. Een patchvenster van een maand dekt een aanvalsvenster van 24 uur niet.

De beheertools zijn de aanvalsroute

Eenmaal binnen gebruikt de groep vooral wat er al staat. Voor zijwaartse beweging zet ze legitieme software voor toegang op afstand in: AnyDesk, Atera, ConnectWise, eHorus, N-able, BeyondTrust, SimpleHelp en Splashtop, bij voorkeur het pakket dat toch al in het netwerk draait. Wachtwoorden haalt ze met Mimikatz uit het geheugen, waarbij de Windows-beveiliging tijdelijk uit gaat en daarna weer aan. Eigen gereedschap parkeert ze in mappen die Windows Defender toch al overslaat.

De versleuteling loopt via het proces gaze.exe, dat back-up- en beveiligingsdiensten stopt voordat het bestanden op slot zet met de extensie .medusa. Daarna verwijderen de aanvallers back-ups en zetten ze virtuele machines uit. De afpersing zelf loopt met een klok erop: het losgeldbriefje geeft 48 uur om te reageren, daarna belt of mailt de groep rechtstreeks en verschijnt de organisatie op een leaksite met een aftelklok. Een dag uitstel kost 10.000 dollar. De hoogte van de eis baseert de groep op publiek bekende omzetcijfers, en tijdens het aftellen biedt ze de gestolen data ook te koop aan. In minstens één geval nam na betaling een tweede lid van de groep contact op met de bewering dat de eerste onderhandelaar het geld had gestolen, en met een nieuwe eis voor de echte ontsleutelsleutel.

Wat de drie diensten aanraden

De maatregelen in het advies gaan niet over een enkele patch. Ze noemen drie kernacties: bekende kwetsbaarheden verhelpen binnen een termijn die past bij het risico, netwerken segmenteren zodat een besmet apparaat niet de rest meeneemt, en verkeer filteren zodat onbekende bronnen niet bij diensten voor toegang op afstand kunnen. Daarnaast: meerdere kopieën van gevoelige data op fysiek gescheiden en beveiligde plekken, en phishingbestendige meervoudige verificatie op in elk geval webmail, VPN en accounts die bij kritieke systemen kunnen.

Die combinatie verklapt waar de echte beslissing ligt. Detectie helpt weinig tegen een aanvaller die met geldige inloggegevens en de beheertool van je eigen leverancier binnenkomt, want technisch gezien doet die niets verdachts. Wat dan telt is herstelbaarheid, en een back-up telt pas als je het terugzetten hebt getest, met een onveranderbare kopie volgens de 3-2-1-regel. Precies die kopie is wat gaze.exe probeert weg te nemen voordat de versleuteling begint.

Terwijl in Den Haag het gesprek gaat over de duizenden organisaties die zich niet registreerden voor de Cyberbeveiligingswet, waarvan de plicht sinds 15 augustus handhaafbaar is, laat het Amerikaanse advies zien waar zo'n registratie uiteindelijk over gaat. Niet over een formulier, maar over een keten waarin een verouderde beheerserver bij een leverancier de rest meesleept.