Medusa-kiristysohjelmahyökkäyskampanja

Pohjois-Koreaan kytköksissä oleva uhkatoimija Lazarus Group, jota seurataan myös nimillä Diamond Sleet ja Pompilus, on havaittu käyttävän Medusa-kiristysohjelmaa hyökkäyksessä nimeämätöntä organisaatiota vastaan Lähi-idässä. Tietoturvatutkijat tunnistivat lisäksi samojen toimijoiden epäonnistuneen tunkeutumisyrityksen, jonka kohteena oli terveydenhuolto-organisaatio Yhdysvalloissa.

Medusa toimii ransomware-as-a-service (RaaS) -mallilla, ja sen käynnisti vuonna 2023 Spearwing-niminen kyberrikollisryhmä. Operaatio on perustamisensa jälkeen ottanut vastuun yli 366 hyökkäyksestä. Medusan vuotoportaalin tarkastelun mukaan marraskuusta 2025 alkaen uhreiksi on listattu neljä Yhdysvalloissa toimivaa terveydenhuollon ja voittoa tavoittelematonta organisaatiota. Näihin kuuluivat mielenterveysjärjestö ja autistisia lapsia palveleva oppilaitos. On edelleen epäselvää, johtuivatko kaikki tapaukset suoraan pohjoiskorealaisista toimijoista vai olivatko muut Medusan tytäryhtiöt vastuussa joistakin tunkeutumisista. Tuona aikana keskimääräinen lunnaiden vaatimus oli noin 260 000 dollaria.

Kiristysohjelmien kehityskaava Pohjois-Korean operaatioissa

Pohjois-Korean kyberyksiköt käyttävät kiristysohjelmia vakiintuneesti. Jo vuonna 2021 Lazarus-alaryhmä nimeltä Andariel (tunnetaan myös nimellä Stonefly) teki hyökkäyksiä Etelä-Koreassa, Japanissa ja Yhdysvalloissa käyttämällä omia kiristysohjelmaperheitään, kuten SHATTEREDGLASS, Maui ja H0lyGh0st.

Lokakuussa 2024 ryhmä yhdistettiin Play-kiristysohjelman käyttöönottoon, mikä viestitti strategisesta suunnasta kohti kaupallisesti saatavilla olevien kiristysohjelmien käyttöä sen sijaan, että luotettaisiin yksinomaan räätälöityihin hyötykuormiin.

Tämä siirtymä ei rajoitu vain Andarieliin. Toisen pohjoiskorealaisen uhkatoimijan, Moonstone Sleetin, joka aiemmin yhdistettiin räätälöityyn FakePenny-kiristysohjelmaan, kerrotaan kohdistaneen hyökkäyksiään eteläkorealaisiin rahoituslaitoksiin Qilin-kiristysohjelmalla. Yhdessä nämä kehityskulut viittaavat laajempaan taktiseen muutokseen, jossa pohjoiskorealaiset operaattorit toimivat yhä enemmän vakiintuneiden RaaS-ekosysteemien tytäryhtiöinä sen sijaan, että ylläpitäisivät kokonaan omia kiristysohjelmatyökalujaan.

Medusa-kampanjaa tukeva operatiivinen työkalupakki

Lazaruksen syyksi luettu Medusaan liittyvä toiminta sisältää sekä räätälöityjä haittaohjelmia että julkisesti saatavilla olevia haitallisia apuohjelmia. Havaittuihin työkaluihin kuuluvat:

• RP_Proxy, oma välityspalvelinapuohjelma.
• Mimikatz, valtakirjojen dumppaustyökalu, jota käytetään laajalti hyväksikäytön jälkeisessä toiminnassa.
• Comebacker, Lazaruksen eksklusiivinen takaovi.
• InfoHook, aiemmin Comebackerin käyttöönottoihin yhdistetty tiedonvaras.
• BLINDINGCAN (tunnetaan myös nimillä AIRDRY tai ZetaNile), etäkäyttöön tarkoitettu troijalainen.

• ChromeStealer, apuohjelma, joka on suunniteltu poimimaan tallennetut tunnistetiedot Chrome-selaimesta.

Vaikka kiristystaktiikat muistuttavat aiempia Andariel-operaatioita, nykyistä toimintaa ei ole lopullisesti yhdistetty tiettyyn Lazarus-alaryhmään.

Strategiset seuraukset: Pragmatismi omistusoikeuden alaisen kehityksen sijaan

Kiristyshaittaohjelmavarianttien, kuten Medusan ja Qilinin, käyttöönotto heijastaa operatiivista käytännöllisyyttä. Mukautettujen kiristyshaittaohjelmaperheiden kehittäminen ja ylläpito vaatii huomattavia resursseja, testausta ja infrastruktuuria. Vakiintuneiden RaaS-alustojen hyödyntäminen tarjoaa välittömän pääsyn kypsiin salausominaisuuksiin, operatiiviseen tukeen ja todistettuihin ansaintamekanismeihin. Yhteistyökumppanien palkkiorakenteita voidaan pitää kohtuullisena kompromissina, kun niitä verrataan kehitys- ja ylläpitokustannuksiin.

Jatkuva ja hillitön kohdentaminen

Siirtyminen kohti valmiita kiristysohjelmia korostaa entisestään Pohjois-Korean jatkuvaa osallistumista taloudellisesti motivoituun kyberrikollisuuteen. Kohteiden valintamallit osoittavat minimaalista pidättyvyyttä, ja Yhdysvalloissa toimivat organisaatiot, mukaan lukien terveydenhuollon yksiköt, kuuluvat ohjelman piiriin. Vaikka jotkut rikollisryhmät väittävät julkisesti välttävänsä terveydenhuollon kohteita mainehaitojen lieventämiseksi, Lazarukseen liittyvissä operaatioissa ei näytä olevan vastaavia rajoituksia.