MedusaLocker ist eine der langlebigsten Ransomware-Familien überhaupt: erstmals im September 2019 beobachtet und bis heute im Umlauf. Sie wird als Dienstleistung betrieben – wechselnde Partner führen die Angriffe aus, der Erlös wird geteilt. Der Einstieg ist seit Jahren derselbe und erschreckend einfach: schlecht geschützte Fernwartungszugänge, geratene oder gestohlene RDP-Passwörter, gelegentlich Phishing. Die US-Cybersicherheitsbehörde CISA hat der Familie deshalb bereits 2022 eine eigene Warnung gewidmet.
Nicht verwechseln: MedusaLocker und die Gruppe Medusa sind zwei verschiedene Akteure – ein Irrtum, der in Berichten regelmäßig passiert. Auffällig ist das Veröffentlichungsverhalten: Statt kontinuierlicher Einträge erscheinen Opfer schubweise, zuletzt am 7. Juli 2026 ein Block mit mehreren deutschen und einem Schweizer Eintrag. Längere Pausen bedeuten bei dieser Familie also gerade nicht, dass nichts passiert.
Aktiv
RaaS mit Partnermodell: Der Partner führt den Angriff aus und erhält den größeren Teil der Zahlung (berichtet werden 55 bis 60 Prozent), der Rest geht an den Betreiber der Schadsoftware.
MedusaLocker, Medusa Locker; Varianten unter anderem AsRock, DeadFilesGr, Marlock, Matlock, ReadTheInstructions
Erstmals beobachtet im September 2019
Eigenständige Familie ohne belegte Vorgängergruppe. <strong>Wichtig zur Abgrenzung:</strong> MedusaLocker ist <em>nicht</em> identisch mit der Gruppe <strong>Medusa</strong> (MedusaLocker existiert seit 2019, Medusa seit 2021) und hat auch nichts mit dem gleichnamigen älteren Medusa-DDoS-Bot zu tun. Die Namensähnlichkeit führt in Berichten regelmäßig zu Verwechslungen.
Nicht eindeutig zugeordnet; russischsprachiges Umfeld wird angenommen, eine belastbare Zuschreibung fehlt
Gesundheitswesen (historischer Schwerpunkt), Bildung, kommunale Verwaltung, Rechts- und Steuerberatung, Handel und produzierendes Gewerbe – vielfach Organisationen mit großen Beständen personenbezogener Daten.
International; Opfer in Nordamerika, Europa und Lateinamerika. Im Juli 2026 erschienen mehrere <strong>deutsche</strong> Einträge sowie ein <strong>Schweizer</strong> Eintrag auf der Leak-Site.
Nicht einheitlich; die Forderungen werden je Opfer individuell gestellt und über ein Tor-Portal oder E-Mail verhandelt.
78 gelistete Opfer seit 2022 auf der Leak-Site; jüngster Eintrag am 7. Juli 2026, darunter mehrere deutsche und ein Schweizer Eintrag (Stand: 10. August 2026)
wechselnd je Variante – unter anderem .encrypted, .marlock, .matlock20, .deadfilesgr, .datalock, .bec
HOW_TO_RECOVER_DATA.html beziehungsweise Recovery_Instructions.html (Bezeichnung variiert je Variante)
MedusaLocker verschlüsselt Dateiinhalte mit AES-256 und schützt den verwendeten Schlüssel mit RSA-2048. Die Datei-Endung ist kein verlässliches Erkennungsmerkmal: Je nach Variante hängt der Verschlüsseler unter anderem .encrypted, .marlock, .matlock20, .deadfilesgr oder .datalock an.
Charakteristisch ist die Vorbereitung des Systems vor der Verschlüsselung: Sicherheitslösungen werden über Registry-Änderungen abgeschaltet, Schattenkopien und lokale Sicherungen gelöscht und der Arbeitsstationsdienst neu gestartet, damit verbundene Netzlaufwerke sicher erfasst werden. Eine geplante Aufgabe sorgt dafür, dass der Verschlüsseler in kurzen Abständen erneut anläuft – auch neu angeschlossene Datenträger und später eingebundene Freigaben werden so noch erfasst. Die Erpressernotiz liegt als HTML-Datei in den betroffenen Verzeichnissen.
MedusaLocker scheitert an guter Grundhygiene – und genau die prüft und überwacht Argos Security. Im Rahmen unserer Vorsorgeleistungen finden wir offen erreichbare Fernzugänge und fehlende Multi-Faktor-Authentifizierung, bevor ein Angreifer sie findet. Das Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den typischen Vorzeichen an: gehäufte fehlgeschlagene Anmeldungen, gelöschte Schattenkopien, abgeschaltete Sicherheitsdienste und massenhafte Schreibzugriffe auf Dateiservern. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet die Meldepflichten – auf Wunsch mit einem Bereitschaftsvertrag, der die Reaktionszeit vertraglich absichert.