Medusa: Die Ransomware, die Zero-Days ausnutzt und in 24 Stunden zuschlaegt — Vom Krankenhaus zu den Uffizien
Am 6. April 2026 veroeffentlichte Microsoft eine Analyse, die das Bedrohungsniveau der Medusa-Ransomware neu definiert. Die Gruppe — seit 2021 aktiv und bereits verantwortlich fuer den Angriff auf die Uffizien in Florenz im Februar 2026 — nutzt Zero-Day-Schwachstellen bis zu einer Woche vor ihrer oeffentlichen Bekanntgabe aus und schliesst die gesamte Angriffskette in nur 24 Stunden ab.
Zero-Days vor der Veroeffentlichung: Medusas Zeitvorteil
Microsoft dokumentierte zwei spezifische CVEs, die Medusa vor der oeffentlichen Bekanntgabe ausnutzte: CVE-2026-23760 in SmarterMail und CVE-2025-10035 in GoAnywhere Managed File Transfer. In beiden Faellen wurde die Schwachstelle etwa eine Woche vor der Veroeffentlichung weaponisiert.
Das Pre-Disclosure-Exploitation-Fenster ist Medusas gefaehrlichster Vorteil. Wenn eine Schwachstelle noch nicht oeffentlich ist, existieren keine Patches, keine IDS-Signaturen, keine CISA-Advisories. Verteidiger sind blind.
Vom Erstzugang zur Ransomware in 24 Stunden
Microsoft berichtet von Faellen, in denen Medusa-Operateure den gesamten Angriffszyklus in nur 24 Stunden abschliessen. Die verwendeten Tools sind bewusst "legitim": ConnectWise ScreenConnect, AnyDesk und SimpleHelp — Fernwartungssoftware, die viele Organisationen bereits einsetzen.
Opfer: Gesundheitswesen, Kultur, Bildung
Bestaetigte Opfer sind das University of Mississippi Medical Center und Passaic County, New Jersey. In Italien war Medusa fuer den Angriff auf die Uffizien am 1. Februar 2026 und den gleichzeitigen Angriff auf die Universitaet La Sapienza in Rom verantwortlich.
Gruppenprofil: Russland, Nordkorea oder beide?
Die Zuordnung von Medusa ist komplex. Analysten bewerten, dass die Gruppe von Russland aus operiert. Jedoch hat eine aktuelle Symantec-Untersuchung ergeben, dass nordkoreanische Lazarus-Mitglieder in mindestens einem dokumentierten Fall Medusa-Ransomware eingesetzt haben.
Die Lazarus-Beteiligung an Medusa-Einsaetzen deutet auf eine operative Konvergenz zwischen russischer Cyberkriminalitaet und nordkoreanischer Spionage hin.
Kontext: FBI meldet $17,6 Milliarden Cyber-Verluste fuer 2025
Die FBI IC3 berichtete fuer 2025 Cyber-Betrugs-Verluste von 17,6 Milliarden Dollar. Ransomware generierte 3.611 Beschwerden ueber 32 Millionen Dollar direkte Verluste. 63 neue Ransomware-Varianten wurden identifiziert, 14 von 16 US-kritischen Infrastruktursektoren waren betroffen.
Operative Empfehlungen
- 1.Patch-Management mit absoluter Prioritaet: Medusa nutzt das Pre-Patch-Fenster aus.
- 2.Audit der Fernzugriffs-Tools: alle ConnectWise-, AnyDesk- und SimpleHelp-Installationen ueberpruefen.
- 3.Ueberwachung der Kontoerstellung: Medusa erstellt sofort nach dem Erstzugang Benutzerkonten.
- 4.Netzwerksegmentierung und Offline-Backups: Bei 24 Stunden vom Zugang zur Ransomware ist Segmentierung die einzige Verteidigung.
- 5.Schutz interner Kommunikation: Datenexfiltration erfolgt vor dem Ransomware-Deployment.
- 6.NIS2-Compliance-Ueberpruefung: Strafen erreichen 10 Millionen Euro.
Fazit
Medusa repraesentiert die gefaehrlichste Ransomware-Evolution 2026. Fuer jede Organisation lautet die Frage nicht ob Medusa zuschlagen wird, sondern wann. Und mit 24 Stunden vom Zugang zur Ransomware koennte "wann" heute sein.
Quellen: Microsoft Threat Intelligence (Medusa-Analyse, 6. April 2026), CISA, Symantec, FBI IC3 (Jahresbericht 2025), The Record, BleepingComputer.