CISA Peringatkan Medusa, Ransomware Bisa Lumpuhkan Jaringan

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA), bersama Biro Investigasi Federal (FBI) dan Departemen Kesehatan dan Layanan Kemanusiaan AS (HHS), memperbarui peringatan keamanan terkait ancaman ransomware Medusa. Kelompok ini disebut semakin agresif menyusup ke jaringan organisasi, mematikan perangkat keamanan, mencuri data sensitif, hingga mengenkripsi sistem secara menyeluruh.

Peringatan tersebut menjadi perhatian serius karena Medusa telah menyasar ratusan organisasi dari berbagai sektor infrastruktur penting. Berdasarkan hasil penyelidikan forensik yang dirangkum dalam peringatan berkode AA25-071A hingga April 2026, lebih dari 500 organisasi telah menjadi korban serangan Medusa.

Sektor yang terdampak mencakup layanan kesehatan, pendidikan, hukum, asuransi, manufaktur, hingga teknologi. Rumah sakit dan organisasi kesehatan menjadi salah satu sasaran yang paling mengkhawatirkan karena gangguan sistem digital dapat langsung berdampak terhadap operasional dan pelayanan kepada masyarakat.

Medusa Berkembang Menjadi Bisnis Ransomware

Medusa pertama kali terdeteksi pada Juni 2021 sebagai operasi malware tertutup. Namun, sejak sekitar 2023, kelompok tersebut berkembang menjadi model Ransomware-as-a-Service (RaaS).

Model ini membuat serangan ransomware semakin mudah diperluas. Pengembang utama menyediakan perangkat lunak ransomware dan infrastruktur pendukung, sementara afiliasi bertugas mencari korban, mendapatkan akses ke jaringan, serta menjalankan serangan.

Sebagai imbalannya, hasil pembayaran tebusan dibagi antara pengembang dan afiliasi.

Medusa juga menerapkan strategi double extortion. Dalam pola serangan ini, pelaku tidak berhenti setelah mengenkripsi sistem korban. Sebelum enkripsi dilakukan, data penting juga dicuri.

Data yang menjadi sasaran dapat berupa dokumen perusahaan, kekayaan intelektual, informasi pelanggan, hingga rekam medis pasien. Setelah itu, pelaku mengancam mempublikasikan data tersebut melalui situs kebocoran di dark web apabila korban tidak membayar uang tebusan.

Strategi ini memberikan tekanan tambahan kepada korban. Bahkan ketika organisasi masih memiliki cadangan data, ancaman kebocoran informasi tetap dapat menjadi masalah besar, terutama bagi perusahaan yang menyimpan data pelanggan dan informasi sensitif.

Keterlibatan HHS dalam pembaruan peringatan CISA juga menunjukkan besarnya perhatian terhadap serangan Medusa di sektor kesehatan. Rumah sakit dan organisasi kesehatan memiliki ketergantungan tinggi terhadap sistem digital sehingga gangguan akibat ransomware dapat menghambat berbagai layanan penting.

Membeli Akses hingga Memanfaatkan Celah Keamanan

Salah satu cara afiliasi Medusa mendapatkan akses awal adalah melalui Initial Access Broker (IAB). Mereka merupakan pelaku di ekosistem kejahatan siber yang menyediakan akses ke jaringan organisasi yang sebelumnya telah berhasil ditembus.

Akses tersebut kemudian dijual kepada kelompok ransomware. Nilainya sangat bervariasi, mulai dari sekitar 100 dolar AS hingga mencapai 1 juta dolar AS, tergantung tingkat akses dan nilai target.

Selain membeli kredensial, pelaku juga aktif mengeksploitasi kerentanan perangkat lunak yang belum diperbaiki.

Beberapa kerentanan yang disebut dalam peringatan antara lain ScreenConnect authentication bypass CVE-2024-1709, Fortinet FortiClient EMS SQL injection CVE-2023-48788, kelemahan deserialisasi pada Fortra GoAnywhere MFT, serta kerentanan remote code execution pada BeyondTrust CVE-2026-1731. Yang membuat ancaman ini semakin serius adalah kecepatan pelaku dalam mengeksploitasi celah keamanan yang baru diketahui publik.

Menurut CISA dan mitra federalnya, operator Medusa dapat memanfaatkan kerentanan publik dalam waktu sekitar 24 jam setelah informasi mengenai celah tersebut diumumkan. Dalam kondisi tertentu, eksploitasi bahkan dapat terjadi sebelum patch resmi tersedia.

Situasi tersebut memperlihatkan pentingnya proses patching yang cepat. Organisasi tidak cukup hanya memiliki kebijakan pembaruan perangkat lunak, tetapi juga perlu memastikan bahwa sistem yang terhubung ke internet segera mendapatkan perbaikan ketika kerentanan kritis ditemukan.

Memanfaatkan PowerShell dan WMI untuk Menyembunyikan Serangan

Setelah berhasil masuk ke jaringan, pelaku Medusa tidak selalu mengandalkan malware tambahan untuk menjalankan aksinya. Mereka memanfaatkan teknik living-off-the-land, yakni menggunakan perangkat dan fitur bawaan sistem operasi untuk melakukan aktivitas berbahaya.

Beberapa komponen yang digunakan mencakup PowerShell, cmd.exe, dan Windows Management Instrumentation (WMI).

Karena alat-alat tersebut merupakan bagian normal dari lingkungan Windows, aktivitasnya dapat terlihat seperti pekerjaan administrasi sistem biasa. Pelaku dapat menggunakannya untuk memetakan jaringan, mengidentifikasi server penting, menemukan perangkat lain, serta mempersiapkan pergerakan ke sistem yang lebih sensitif.

Teknik tersebut membuat pendeteksian menjadi lebih sulit. Aktivitas berbahaya tidak selalu menghasilkan file atau aplikasi mencurigakan yang mudah dikenali perangkat keamanan.

Medusa juga diketahui berupaya menonaktifkan sistem Endpoint Detection and Response (EDR). EDR merupakan salah satu lapisan pertahanan penting karena memantau aktivitas endpoint dan dapat mendeteksi perilaku yang mencurigakan.

Dengan menghentikan EDR terlebih dahulu, pelaku dapat mengurangi kemungkinan aktivitas mereka terdeteksi sebelum ransomware dijalankan.

Pelaku juga diketahui menggunakan driver kernel yang rentan atau telah dicuri untuk membantu menghentikan perangkat keamanan. Selain itu, mereka dapat mencuri kredensial dari memori LSASS dan menyalahgunakan layanan Remote Monitoring and Management (RMM) seperti AnyDesk, Atera, dan SimpleHelp.

Penggunaan perangkat RMM yang sah menjadi persoalan tersendiri karena administrator perusahaan juga menggunakan teknologi serupa untuk mengelola perangkat dari jarak jauh.

Kredensial Dicuri, Data Dikumpulkan

Setelah memperoleh pijakan di dalam jaringan, pelaku melanjutkan aksinya dengan mengumpulkan kredensial dan informasi penting. Sejumlah alat seperti Mimikatz, CrackMapExec, dan Rclone digunakan untuk membantu proses tersebut. Mimikatz, misalnya, dikenal sebagai alat yang dapat digunakan untuk mengambil kredensial dari sistem Windows.

Sementara itu, alat administrasi dan transfer file dapat dimanfaatkan untuk mengumpulkan serta memindahkan data dalam jumlah besar ke lokasi yang dikendalikan penyerang. Pelaku sengaja memanfaatkan perangkat yang sebenarnya digunakan untuk administrasi jaringan. Tujuannya adalah menyamarkan aktivitas berbahaya di antara aktivitas sistem yang normal.

Pola ini menunjukkan bahwa serangan ransomware modern tidak lagi sekadar menjalankan satu file berbahaya dan langsung mengenkripsi komputer. Serangan dapat berlangsung dalam beberapa tahap dan membutuhkan waktu untuk menguasai lingkungan korban.

gaze.exe Menjadi Payload Enkripsi

Dalam serangan Medusa pada Windows, payload ransomware yang digunakan dikenal sebagai gaze.exe. Program tersebut dirancang untuk menghentikan sejumlah layanan sebelum proses enkripsi dimulai. Layanan keamanan, database, dan sistem pencadangan dapat menjadi sasaran agar proses pemulihan korban semakin sulit.

Medusa juga menghapus Volume Shadow Copies, yaitu salinan yang dapat digunakan Windows untuk membantu pemulihan file atau sistem. Setelah pertahanan dan mekanisme pemulihan dilemahkan, ransomware mulai mengenkripsi file korban menggunakan algoritma AES-256. File yang berhasil dienkripsi akan mendapatkan ekstensi .medusa.

Dengan cara tersebut, organisasi tidak hanya kehilangan akses terhadap data, tetapi juga menghadapi risiko gangguan operasional secara luas.

Tebusan Bisa Mencapai 15 Juta Dolar AS

Setelah mengenkripsi jaringan, operator Medusa biasanya memberikan waktu sekitar 48 jam kepada korban untuk memulai negosiasi. Komunikasi dilakukan melalui layanan live chat berbasis Tor atau aplikasi pesan terenkripsi Tox. Pelaku kemudian mengajukan tuntutan pembayaran untuk memberikan kesempatan kepada korban memperoleh kunci atau mekanisme pemulihan data.

Dalam sejumlah kasus, pelaku menawarkan diskon apabila korban membayar lebih cepat. Namun, apabila tenggat waktu tidak dipenuhi, korban dapat menghadapi ancaman publikasi data. Nilai tuntutan tebusan Medusa disebut dapat mencapai 15 juta dolar AS, sementara rata-rata pembayaran berada di sekitar 260.000 dolar AS.

Ancaman kebocoran data membuat organisasi berada dalam posisi sulit. Membayar tebusan tidak hanya menyangkut biaya pemulihan sistem, tetapi juga pertimbangan mengenai risiko hukum, reputasi, perlindungan data, dan keberlangsungan operasional.

CISA Dorong Organisasi Memperkuat Pertahanan

Melihat pola serangan tersebut, CISA dan lembaga federal AS meminta organisasi, khususnya operator infrastruktur penting, memperkuat pertahanan sebelum menjadi sasaran.

Langkah pertama adalah mempercepat patching terhadap kerentanan kritis. Sistem yang terhubung langsung ke internet harus menjadi prioritas karena dapat menjadi pintu masuk bagi penyerang. Organisasi juga disarankan menerapkan segmentasi jaringan. Dengan memisahkan jaringan menjadi beberapa bagian, pergerakan penyerang dapat dibatasi apabila salah satu perangkat berhasil ditembus.

Akses terhadap layanan remote management dari internet juga perlu dikendalikan secara ketat. Setiap koneksi harus diverifikasi dan hanya diberikan kepada pengguna serta perangkat yang benar-benar membutuhkan akses. Selain itu, penerapan multifactor authentication (MFA) yang tahan terhadap phishing menjadi langkah penting untuk mengurangi risiko pencurian kredensial.

Organisasi juga perlu memiliki backup yang immutable dan offline. Backup immutable dirancang agar tidak mudah diubah atau dihapus, sedangkan backup offline tidak terus-menerus terhubung dengan jaringan produksi. Kombinasi keduanya dapat membantu organisasi memulihkan data tanpa harus bergantung sepenuhnya pada pelaku ransomware.

Tim keamanan juga perlu memantau endpoint untuk menemukan pemasangan RMM yang tidak sah, penggunaan PowerShell atau alat administrasi secara tidak biasa, serta aktivitas lain yang dapat menunjukkan adanya penyusupan.

Kasus Medusa memperlihatkan bagaimana ransomware telah berkembang menjadi operasi kejahatan siber yang terstruktur. Pelaku tidak hanya masuk ke jaringan lalu mengenkripsi file, tetapi terlebih dahulu mencari celah, mencuri kredensial, memetakan infrastruktur, menonaktifkan sistem keamanan, mencuri data, dan baru kemudian menjalankan enkripsi.

Karena itu, pertahanan terhadap ransomware tidak dapat hanya mengandalkan antivirus atau EDR. Organisasi membutuhkan pendekatan berlapis yang mencakup patching cepat, MFA, segmentasi jaringan, pemantauan endpoint, pembatasan akses jarak jauh, serta backup yang aman.

Peringatan CISA tersebut menjadi pengingat bahwa semakin cepat organisasi mendeteksi dan menghentikan aktivitas mencurigakan, semakin besar peluang untuk mencegah serangan Medusa berkembang menjadi krisis operasional dan kebocoran data berskala besar.