Medusa Alliance

Nombres Alternativos / Aliases

• Lazarus Medusa RaaS Campaign
• North Korean Ransomware Operation
• Phantom Circuit Ransomware Attack
• Diamond Sleet Ransomware Campaign
• Comebacker Backdoor Deployment

Fecha de Detección / Actividad

Período de Actividad Observado: Activa desde al menos septiembre de 2022, con ataques recientes documentados en febrero de 2026

Fecha de Divulgación Pública: 24 de febrero de 2026 por Symantec y Carbon Black

Estado: ACTIVA, con convergencia entre operaciones de espionaje estatal y cibercrimen financiero

Primeros Ataques Detectados: Campañas previas contra sector energético (2022), ataques recientes en Medio Oriente (2026)

Actor de Amenaza (Atribución)

Atribución: Lazarus Group (patrocinado por Corea del Norte - DPRK)

Tipo de Actor: APT (Advanced Persistent Threat) patrocinado por estado-nación con motivaciones financieras

Sofisticación: ALTA, empleando infraestructura proxy sofisticada, malware personalizado y técnicas de evasión avanzadas

Motivación: Financiera (generación de ingresos mediante ransomware) y potencialmente espionaje, con fondos presuntamente desviados para operaciones del régimen norcoreano

Sub-grupos Involucrados:

• Stonefly: TTPs asociados a los ataques Medusa
• Diamond Sleet: Vinculado al backdoor Comebacker utilizado en la campaña
• Andariel/APT38/BlueNoroff: Historial de ataques a infraestructura crítica

Resumen Ejecutivo

La campaña "Medusa Alliance" representa una evolución significativa en las operaciones del Grupo Lazarus, patrocinado por Corea del Norte, al adoptar por primera vez el ransomware Medusa operado bajo el modelo Ransomware-as-a-Service (RaaS). Esta actividad maliciosa, descubierta por el equipo de investigadores de Symantec y Carbon Black, se materializó en un ataque exitoso contra una gran empresa en Medio Oriente y un intento fallido contra una organización del sector salud en Estados Unidos. El ecosistema de malware desplegado incluye el backdoor exclusivo Comebacker (vinculado a Diamond Sleet), el troyano de acceso remoto Blindingcan, el infostealer Infohook, herramientas de robo de credenciales como Mimikatz y ChromeStealer, y el proxy personalizado RP_Proxy para movimiento lateral.

La infraestructura de comando y control utiliza el circuito "Phantom Circuit" descubierto por SecurityScorecard, una sofisticada red de VPNs Astrill y proxies que se conectan a través de una red intermedia registrada en Rusia, con conexiones originadas desde seis direcciones IP en Pyongyang. Los atacantes emplean servidores C2 alojados en infraestructura registrada bajo la ficticia "Stark Industries, LLC". Esta campaña demuestra la peligrosa convergencia entre el cibercrimen y los estados-nación, donde un actor estatal altamente sofisticado opta por integrarse como afiliado en el ecosistema criminal, utilizando herramientas probadas para maximizar el impacto financiero.

Vectores de Ataque

• Explotación de aplicaciones públicas (Log4j en VMware Horizon): Acceso inicial mediante vulnerabilidades conocidas (CVE-2021-44228) en servidores VMware Horizon para infiltrar redes corporativas
• Phishing dirigido a desarrolladores: Suplantación de reclutadores en LinkedIn y foros de empleo para engañar a desarrolladores y que clonen repositorios GitHub maliciosos
• Credenciales válidas: Obtención mediante compra a corredores de acceso inicial (IABs) o robo con herramientas como Mimikatz y ChromeStealer
• Ingeniería social: Impostación de trabajadores de TI con identidades robadas para infiltrar organizaciones objetivo

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Acceso Inicial (TA0001)	Explotación de Aplicación Pública (T1190)	Explotación de vulnerabilidad Log4j en servidores VMware Horizon
Acceso Inicial (TA0001)	Phishing (T1566)	Suplantación de reclutadores en LinkedIn con repositorios maliciosos
Ejecución (TA0002)	Intérprete de Comandos y Scripting (T1059)	Uso de scripts para ejecución de malware y comandos post-explotación
Persistencia (TA0003)	Creación de Cuenta (T1136)	Establecimiento de acceso persistente mediante cuentas de administrador
Escalada de Privilegios (TA0004)	Robo de Credenciales (T1003)	Uso de Mimikatz para volcado de credenciales LSASS
Evasión de Defensas (TA0005)	Ofuscación (T1027)	Comandos ofuscados y malware empaquetado para evadir detección
Evasión de Defensas (TA0005)	Proxy (T1090)	Uso de Phantom Circuit (VPNs Astrill + proxies rusos) para ocultar origen
Acceso a Credenciales (TA0006)	Volcado de Credenciales del SO (T1003)	Acceso a memoria LSASS con Mimikatz (T1003.001)
Acceso a Credenciales (TA0006)	Credenciales No Seguras (T1552)	Robo de contraseñas de navegadores con ChromeStealer
Descubrimiento (TA0007)	Descubrimiento de Cuentas (T1087)	Enumeración de usuarios y grupos en el dominio
Descubrimiento (TA0007)	Descubrimiento de Red (T1016)	Mapeo de red y sistemas para movimiento lateral
Movimiento Lateral (TA0008)	Transferencia Lateral de Herramientas (T1570)	Uso de RP_Proxy para moverse entre sistemas comprometidos
Colección (TA0009)	Datos de Sistema Local (T1005)	Recopilación de información sensible con Infohook
Comando y Control (TA0011)	Protocolo de Capa de Aplicación (T1071)	Comunicación C2 mediante protocolos web estándar (HTTPS)
Comando y Control (TA0011)	Canal Cifrado (T1573)	Uso de cifrado para comunicación con servidores C2
Exfiltración (TA0010)	Exfiltración por Canal C2 (T1041)	Envío de datos robados a través de canales C2 establecidos
Impacto (TA0040)	Datos Cifrados para Impacto (T1486)	Cifrado de archivos con ransomware Medusa (AES-256)
Impacto (TA0040)	Inhibir Recuperación del Sistema (T1490)	Eliminación de copias de sombra de volumen (vssadmin.exe)

Flujo de Ataque (Kill Chain)

1. Reconocimiento: Identificación de objetivos en sectores de salud y grandes empresas en Medio Oriente y EE.UU., así como desarrolladores de software a nivel global
2. Armamento: Preparación del ransomware Medusa (obtenido como afiliado RaaS) y arsenal de herramientas personalizadas: Comebacker, Blindingcan, Infohook, Mimikatz, ChromeStealer, RP_Proxy
3. Entrega:
   • Explotación de vulnerabilidades Log4j en VMware Horizon
   • Campañas de phishing a desarrolladores vía LinkedIn con repositorios GitHub maliciosos
   • Credenciales compradas a IABs
4. Explotación: Ejecución del código malicioso en sistemas vulnerables, aprovechando vulnerabilidades o credenciales válidas
5. Instalación: Despliegue de backdoors (Comebacker) y RATs (Blindingcan) para mantener acceso persistente; instalación de Infohook para robo continuo de información
6. Comando y Control: Establecimiento de comunicación con servidores C2 a través de Phantom Circuit (VPNs Astrill → proxies rusos → servidores C2 en "Stark Industries, LLC"), ocultando origen en Pyongyang
7. Acción sobre objetivos:
   • Movimiento lateral con RP_Proxy
   • Robo de credenciales (Mimikatz, ChromeStealer)
   • Exfiltración de datos sensibles
   • Cifrado de archivos con ransomware Medusa
   • Nota de rescate con amenaza de doble extorsión

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
VPNs	Astrill VPN (servidores en 142 ciudades, 56 países)	Conexión inicial desde Pyongyang para ocultar origen
Red Proxy	Red intermedia registrada con empresa de carga en Hasan, Rusia	Segunda capa de ofuscación antes de conectar a C2
Servidores C2	Registrados bajo "Stark Industries, LLC" (entidad ficticia)	Alojamiento de infraestructura de comando y control
IPs Origen (Pyongyang)	Seis direcciones IP distintas identificadas	Puntos de inicio reales de las conexiones de los operadores
Repositorios GitHub	Repositorios aparentemente benignos pero maliciosos	Vectores de entrega para campañas de phishing a desarrolladores
Malware Personalizado	Comebacker, Blindingcan, Infohook, RP_Proxy, VSingle, YamaBot, MagicRat	Herramientas para acceso persistente, RAT, robo de información y movimiento lateral

Objetivos y Sectores Atacados

Objetivo Primario: Organizaciones en Medio Oriente (gran empresa no especificada)

Objetivo Secundario: Sector salud en Estados Unidos (ataque fallido)

Objetivo Histórico: Sector energético (EE.UU., Canadá, Japón - 2022), entidades de criptomonedas, exchanges, desarrolladores de software

Sectores Prioritarios: Críticos (energía, salud), financiero (criptomonedas), tecnológico (desarrolladores)

Distribución Geográfica: Medio Oriente, Norteamérica, Asia (Japón), global (desarrolladores)

Enfoque Transversal: Grandes empresas sin propiedad intelectual valiosa (motivación puramente financiera) y objetivos estratégicos (espionaje)

Impacto y Riesgo

Nivel de Riesgo: CRÍTICO (combinación de actor estado-nación sofisticado con ransomware criminal)

Impacto Inmediato:

• Cifrado de archivos críticos (AES-256)
• Exfiltración de información sensible (registros financieros, salud, secretos de desarrollo)
• Interrupción operacional completa

Consecuencias Operacionales:

• Pérdida de integridad y disponibilidad de datos
• Exposición de propiedad intelectual y datos de usuarios
• Costos de remediación, forense y posibles multas regulatorias
• Pago de rescate (promedio $260,000) o pérdida permanente de datos

Riesgo Estratégico:

• Financiamiento del régimen norcoreano mediante rescates
• Convergencia cibercrimen-espionaje estatal
• Demostración de voluntad de atacar infraestructura crítica sin restricciones

Recomendaciones de Mitigación

Parcheo y Actualizaciones:

• Aplicar parches para vulnerabilidades Log4j en servidores VMware Horizon y otros sistemas expuestos
• Mantener actualizado todo el software corporativo

Autenticación y Accesos:

• M1032 Multi-factor Authentication: Implementar MFA en todos los accesos remotos y cuentas privilegiadas
• Políticas de contraseñas robustas y cambio periódico

Segmentación de Red:

• M1030 Network Segmentation: Aislar sistemas críticos y segmentar la red para limitar movimiento lateral
• Control de accesos basado en principio de mínimo privilegio

Protección de Endpoints:

• M1040 Behavior Prevention on Endpoint: Monitorear comportamientos sospechosos (acceso LSASS, eliminación de copias de sombra)
• M1049 Antivirus/Antimalware: Firmas actualizadas para detectar Medusa, Comebacker, Blindingcan, Infohook

Backups y Recuperación:

• M1053 Data Backup: Copias de seguridad regulares almacenadas offline o inmutables
• Pruebas periódicas de restauración

Concientización:

• M1017 User Training: Capacitación contra phishing y tácticas de ingeniería social (reclutadores falsos en LinkedIn)

Herramientas de Detección

EDR/Endpoint Monitoring:

• Detección de acceso a memoria LSASS (Mimikatz)
• Alertas sobre ejecución de vssadmin.exe para eliminar copias de sombra
• Comportamiento anómalo de procesos que intenten cifrar archivos masivamente

SIEM/SOAR:

• Correlación de eventos de eliminación de copias de sombra con otras actividades sospechosas
• Alertas sobre herramientas de transferencia de archivos (curl, certutil, bitsadmin)
• Detección de volúmenes inusuales de exfiltración de datos

Network Detection:

• Supervisión de patrones de comunicación C2
• Detección de tráfico hacia infraestructura proxy conocida
• Análisis de protocolos para identificar tunelización

Vulnerability Scanners:

• Escaneo proactivo para detectar versiones vulnerables de VMware Horizon
• Identificación de servidores con Log4j sin parchear

Referencias y Fuentes

• Symantec y Carbon Black Threat Hunter Team (Febrero 2026)
• SecurityScorecard: "Phantom Circuit" Discovery (Enero 2025)
• Cisco Talos: Lazarus Energy Sector Campaign (Septiembre 2022)
• MITRE ATT&CK Framework para mapeo de TTPs
• Dark Reading: Lazarus Group Picks a New Poison: Medusa Ransomware
• CISA Advisory sobre ataques a servidores VMware Horizon

Indicadores de Compromiso / IOC

Malware:

• Medusa ransomware (payload RaaS)
• Comebacker backdoor
• Blindingcan RAT
• Infohook infostealer
• ChromeStealer
• VSingle malware
• YamaBot
• MagicRat RAT

Herramientas:

• Mimikatz
• RP_Proxy
• curl (uso malicioso)

Técnicas Detectadas:

• Comandos vssadmin delete shadows
• Acceso a memoria LSASS
• Conexiones a través de Astrill VPN
• Tráfico hacia "Stark Industries, LLC" infrastructure

Patrones de Comportamiento:

• Eliminación de copias de sombra de volumen
• Exfiltración de datos volumétrica
• Movimiento lateral mediante proxies personalizados

Etiquetas / Categorías

lazarus-group north-korea apt medusa-ransomware ransomware-as-a-service raas come-backer blindingcan infohook phantom-circuit stark-industries critical-infrastructure healthcare-energy-sector cryptocurrency-exchange supply-chain-attack developer-targeting linkedin-phishing github-malware-repo log4j-exploitation vmware-horizon c2-infrastructure vpn-obfuscation proxy-network state-sponsored-cybercrime financial-motivation double-extortion mitre-attack t1003 t1027 t1071 t1486 t1490 iocs-active-campaign february-2026 dark-reading symantec-carbonblack securityscorecard cisco-talos