Medusa dépasse les 500 victimes d’infrastructures critiques aux États-Unis

18 août 2026. Le FBI, le CISA et le département américain de la Santé (HHS) publient une mise à jour de leur alerte conjointe #StopRansomware sur le ransomware Medusa. 12 mars 2025, la première version comptait plus de 300 victimes ; avril 2026, le compteur dépasse les 500 organisations d’infrastructures critiques touchées depuis juin 2021. Ce n’est pas un simple chiffre qui grimpe : c’est un gang devenu une plateforme industrielle d’extorsion, et l’alerte dit exactement comment il entre.

Ce qui frappe dans cette mise à jour, ce n’est pas la nouveauté des techniques. C’est la vitesse à laquelle Medusa convertit une vulnérabilité publiée en accès initial.

Un compteur qui double en dix-huit mois

Medusa est un ransomware-as-a-service (RaaS) apparu en juin 2021. Il a d’abord fonctionné en mode fermé — les mêmes acteurs contrôlaient développement et campagnes — avant de basculer vers un modèle d’affiliation au début de 2023. Depuis, les développeurs recrutent des initial access brokers (IAB) sur les forums cybercriminels, avec des paiements allant de 100 dollars à 1 million de dollars pour un accès initial, assortis d’une option d’exclusivité.

Le modèle économique est celui de la double extorsion : les acteurs chiffrent les données et menacent de publier ce qu’ils ont exfiltré si la rançon n’est pas payée. C’est ce levier — la honte publique via un site de fuite — qui a fait décoller l’opération en 2023, après la mise en ligne du Medusa Blog.

La trajectoire des victimes est éloquente. Février 2025 : plus de 300. Avril 2026 : plus de 500. Le périmètre couvre la Santé (secteur le plus touché), la base industrielle de défense, la fabrication critique, les services gouvernementaux, les technologies de l’information et les services financiers, plus les secteurs médical, éducatif, juridique, assurantiel et industriel. Microsoft suit l’acteur sous le nom Storm-1175 et le décrit, dans un billet du 6 avril 2026, comme ciblant en priorité les actifs web exposés.

Une confusion récurrente mérite d’être levée : ce Medusa n’a rien à voir avec MedusaLocker, ni avec le malware Android TangleBot (aussi appelé Medusa), ni avec le botnet Mirai du même nom. Le CISA le rappelle explicitement, parce que le nom partagé a longtemps brouillé l’attribution.

L’accès initial : quatre CVE et du phishing

L’alerte actualisée dresse la liste précise des portes d’entrée. Le phishing reste la méthode principale pour voler des identifiants, mais l’exploitation de logiciels non patchés fait le reste. Quatre CVE sont nommées :

• CVE-2024-1709 — un contournement d’authentification dans ScreenConnect (CWE-288) ;
• CVE-2023-48788 — une injection SQL dans Fortinet EMS ;
• CVE-2025-10035 — une désérialisation de données non fiables dans Fortra GoAnywhere (ajout de la mise à jour) ;
• CVE-2026-1731 — une injection de commande OS dans BeyondTrust (ajout de la mise à jour).

Le comportement face aux failles est le point le plus inquiétant. Medusa exploite les vulnérabilités moins de 24 heures après leur annonce publique, et a été observé utilisant des exploits jusqu’à une semaine avant la divulgation officielle. Le FBI note toutefois qu’il n’y a aucune indication que les acteurs développent leurs propres zero-day : ils obtiennent des accès anticipés aux exploits auprès de sources inconnues, ou capitalisent sur la fenêtre entre l’annonce et le correctif.

Pour vérifier qu’un exploit a fonctionné, les acteurs utilisent Interactsh, un serveur out-of-band open source, via les domaines oast[.]site, oast[.]pro et oast[.]fun. Chaque requête HTTP encode le nom de l’hôte compromis dans un sous-domaine ; l’acteur n’a plus qu’à consulter le journal du serveur pour confirmer l’exécution. C’est propre, bruyant à détecter pour qui surveille le DNS sortant, et pourtant redoutablement efficace.

La discrétion comme doctrine

Une fois le pied dans la porte, Medusa applique une doctrine living off the land (LOTL) : se fondre dans l’outillage légitime. L’énumération initiale passe par Advanced IP Scanner et SoftPerfect Network Scanner, puis par le balayage d’une dizaine de ports — 21, 22, 23, 80, 115, 443, 1433, 3050, 3128, 3306, 3389 — des services FTP et SSH aux bases SQL, Firebird et RDP.

L’exécution repose sur PowerShell et cmd.exe, avec WMI pour interroger le système. Le transfert de fichiers utilise certutil, l’utilitaire légitime de gestion PKI, pour éviter la détection. Les identifiants LSASS sont extraits via un Minidump de comsvcs.dll, et l’historique PowerShell est effacé pour couvrir les traces.

Le niveau d’obfuscation PowerShell monte en gamme au fil des investigations du FBI : commandes encodées en base64, chaînes DownloadFile découpées puis reconstituées par concaténation, et enfin des charges gzip décompressées en mémoire via un scriptblock — un gabarit identique au stager public powerfun.ps1.

Trois détails rendent Medusa particulièrement pénible à défendre. D’abord, l’usage de pilotes signés ou vulnérables pour tuer les outils EDR (technique bring your own vulnerable driver, BYOVD). Ensuite, le placement de l’outillage d’exfiltration Rclone dans des dossiers exclus par Windows Defender. Enfin, un arsenal de commande et contrôle qui détourne des outils légitimes : Ligolo-ng pour les tunnels inversés, Cloudflared pour exposer des services, et Nezha, un agent de supervision open source, comme backdoor discret.

Extorsion : chiffrer, exfiltrer, publier

Medusa applique la double extorsion de bout en bout. L’exfiltration précède le chiffrement et s’appuie sur Rclone, configuré pour copier les documents sensibles vers du stockage cloud contrôlé par les acteurs. Les commandes observées par le FBI ciblent les .docx, .pdf, .xlsx, .csv et archives, avec des transferts à 30 flux parallèles et un plafond de 500 Mo par fichier. Les acteurs placent même l’outil dans un dossier exclu de Windows Defender pour rester invisibles.

Le volet public est tout aussi méthodique. Depuis 2023, le site de fuite Medusa Blog sert de levier : les victimes qui refusent de payer voient leurs données publiées. Le gang a gagné en notoriété en mars 2023 en revendiquant l’attaque des écoles publiques de Minneapolis et en diffusant une vidéo des données volées — un signal adressé autant aux autres cibles potentielles qu’à la victime.

Le CISA insiste enfin sur la validation des contrôles de sécurité. L’alerte recommande de tester explicitement la détection des marqueurs Medusa — exfiltration Rclone, requêtes Interactsh, pilotes vulnérables qui tuent l’EDR — plutôt que de supposer les défenses opérationnelles. Une organisation qui n’a jamais testé la détection de ces trois marqueurs ne sait pas si elle verrait l’intrusion arriver.

Verdict

Medusa n’est pas le ransomware le plus sophistiqué du moment, mais il est devenu l’un des plus industrialisés. Son avantage compétitif n’est pas technique, c’est la vitesse de conversion : une CVE publiée le matin devient un accès initial l’après-midi, transformée en chiffrement et en site de fuite quelques jours plus tard.

Les recommandations du CISA tiennent en trois actions, et aucune n’est optionnelle. Premièrement, patcher les systèmes d’exploitation, logiciels et firmwares dans un délai proportionné au risque — les quatre CVE nommées ci-dessus doivent être fermées si vous utilisez ScreenConnect, Fortinet EMS, Fortra GoAnywhere ou BeyondTrust. Deuxièmement, segmenter les réseaux pour empêcher le mouvement latéral depuis la machine infectée. Troisièmement, filtrer le trafic en bloquant les origines non fiables vers les services distants internes.

Si votre parc expose des services d’accès distant vers Internet et que votre patching accuse plus de 24 heures de retard sur les annonces CVE, vous êtes précisément la cible que Medusa convertit le mieux. Le seuil de décision est simple : fermez la fenêtre des 24 heures, ou acceptez de jouer à la loterie avec un gang qui, lui, ne dort jamais.

Références

• CISA, FBI, HHS, « #StopRansomware: Medusa Ransomware » (AA25-071A), mise à jour du 18 août 2026.
• BleepingComputer, « CISA: Medusa ransomware hit over 500 critical infrastructure orgs », 19 août 2026.
• Microsoft, « Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations », 6 avril 2026.
• The Record, « More than 200 victims of Medusa ransomware identified over the last year, CISA says », 18 août 2026.