Medusa explora falhas em horas para ataques

O grupo de ransomware Medusa está a acelerar significativamente o ritmo dos seus ataques, conseguindo comprometer sistemas, exfiltrar dados e lançar ransomware em menos de 24 horas após o acesso inicial, segundo a Microsoft.

De acordo com a análise, os atacantes têm vindo a explorar vulnerabilidades recém-descobertas, incluindo falhas ainda não divulgadas publicamente, aproveitando a janela entre a descoberta e a aplicação de correções.

A Microsoft identificou casos em que o grupo utilizou falhas como a CVE-2026-23760 (SmarterMail) e a CVE-2025-10035 (GoAnywhere MFT) antes da sua divulgação pública, evidenciando um nível elevado de sofisticação e rapidez operacional.

Os ataques começam frequentemente com a exploração de sistemas expostos à Internet, com os atacantes a criar contas para manter o acesso e recorrem a ferramentas legítimas de administração remota, como AnyDesk ou ScreenConnect, para evitar deteção.

Embora algumas intrusões sejam executadas em menos de um dia, os incidentes associados ao Medusa podem prolongar-se por cinco a seis dias, durante os quais os atacantes consolidam o acesso e preparam o ataque final.

Os setores mais afetados incluem saúde, educação, serviços profissionais e finanças, com impacto registado nos Estados Unidos, Reino Unido e Austrália.

A Microsoft alerta que este tipo de operação reflete uma tendência crescente: a rápida operacionalização de vulnerabilidades por grupos de ransomware, reduzindo drasticamente o tempo de resposta das organizações.

O grupo Medusa, ativo desde 2021, tem demonstrado particular interesse em infraestruturas críticas, incluindo hospitais e entidades públicas. Recentemente, reivindicou ataques a um hospital no Mississippi e a um condado em Nova Jérsia.

Especialistas apontam que o grupo poderá ter origem na Rússia, com base em padrões de atividade e linguagem utilizada.

A crescente velocidade destes ataques reforça a necessidade de monitorização contínua, gestão rigorosa de vulnerabilidades e rápida aplicação de atualizações de segurança, de forma a mitigar riscos antes que sejam explorados.