Il gruppo Lazarus, collegato alla Corea del Nord e noto anche con altri nomi operativi, è stato osservato mentre utilizzava il ransomware Medusa in una campagna che ha preso di mira almeno un ente non identificato in Medio Oriente. La stessa infrastruttura e gli stessi attori sono stati associati anche a un tentativo di attacco contro una organizzazione sanitaria negli Stati Uniti, segnalando un interesse concreto verso il settore healthcare, spesso critico per continuità operativa e sensibilità dei dati.

Medusa è un ransomware-as-a-service (RaaS) comparso nel 2023 e gestito da un gruppo criminale che recluta affiliati per condurre intrusioni, cifrare sistemi e richiedere riscatti. Secondo le analisi disponibili, la rete Medusa ha rivendicato centinaia di incidenti, con una media di richiesta di riscatto intorno a 260.000 dollari nel periodo osservato. Tra le vittime rivendicate compaiono anche organizzazioni non profit e realtà legate alla salute mentale e all’educazione, elementi che aumentano il rischio reputazionale e l’impatto sociale degli attacchi ransomware.

Lazarus non è nuovo all’uso di ransomware. In passato sono state attribuite a sottogruppi operazioni con famiglie sviluppate internamente e pensate per obiettivi specifici in Asia e negli Stati Uniti. Negli ultimi anni, però, emerge un cambio di strategia: invece di investire tempo nello sviluppo di un locker proprietario, alcuni attori statali sembrano preferire strumenti già collaudati e disponibili sul mercato criminale, come Medusa o altre varianti note. Questa scelta può essere letta in chiave di pragmatismo operativo, riduzione dei costi di sviluppo e velocità di esecuzione, anche se comporta possibili fee e vincoli tipici dei programmi di affiliazione.

La catena di attacco osservata include una combinazione di tool personalizzati e strumenti pubblici. Tra questi figurano:

• Proxy dedicato
• Utility per il furto di credenziali (Mimikatz)
• Backdoor su misura già viste in altre campagne
• Componenti per la raccolta di informazioni
• Tool per estrarre password salvate in Chrome

La presenza di un arsenale misto è un segnale tipico di operazioni mature, capaci di adattarsi rapidamente all’ambiente della vittima e di massimizzare le possibilità di movimento laterale e accesso privilegiato prima della cifratura.