Threat Intelligence

MedusaLocker

Seit 2019 im Umlauf, angetrieben von schlecht geschützten Fernzugängen – und nicht zu verwechseln mit der Gruppe Medusa.

Kurz erklärt

MedusaLocker ist eine der langlebigsten Ransomware-Familien überhaupt: erstmals im September 2019 beobachtet und bis heute im Umlauf. Sie wird als Dienstleistung betrieben – wechselnde Partner führen die Angriffe aus, der Erlös wird geteilt. Der Einstieg ist seit Jahren derselbe und erschreckend einfach: schlecht geschützte Fernwartungszugänge, geratene oder gestohlene RDP-Passwörter, gelegentlich Phishing. Die US-Cybersicherheitsbehörde CISA hat der Familie deshalb bereits 2022 eine eigene Warnung gewidmet.

Nicht verwechseln: MedusaLocker und die Gruppe Medusa sind zwei verschiedene Akteure – ein Irrtum, der in Berichten regelmäßig passiert. Auffällig ist das Veröffentlichungsverhalten: Statt kontinuierlicher Einträge erscheinen Opfer schubweise, zuletzt am 7. Juli 2026 ein Block mit mehreren deutschen und einem Schweizer Eintrag. Längere Pausen bedeuten bei dieser Familie also gerade nicht, dass nichts passiert.

Aktiv

Modell

RaaS mit Partnermodell: Der Partner führt den Angriff aus und erhält den größeren Teil der Zahlung (berichtet werden 55 bis 60 Prozent), der Rest geht an den Betreiber der Schadsoftware.

Auch bekannt als

MedusaLocker, Medusa Locker; Varianten unter anderem AsRock, DeadFilesGr, Marlock, Matlock, ReadTheInstructions

Gegründet

Erstmals beobachtet im September 2019

Entstanden aus

Eigenständige Familie ohne belegte Vorgängergruppe. <strong>Wichtig zur Abgrenzung:</strong> MedusaLocker ist <em>nicht</em> identisch mit der Gruppe <strong>Medusa</strong> (MedusaLocker existiert seit 2019, Medusa seit 2021) und hat auch nichts mit dem gleichnamigen älteren Medusa-DDoS-Bot zu tun. Die Namensähnlichkeit führt in Berichten regelmäßig zu Verwechslungen.

Herkunft

Nicht eindeutig zugeordnet; russischsprachiges Umfeld wird angenommen, eine belastbare Zuschreibung fehlt

Zielsektoren

Gesundheitswesen (historischer Schwerpunkt), Bildung, kommunale Verwaltung, Rechts- und Steuerberatung, Handel und produzierendes Gewerbe – vielfach Organisationen mit großen Beständen personenbezogener Daten.

Zielregionen

International; Opfer in Nordamerika, Europa und Lateinamerika. Im Juli 2026 erschienen mehrere <strong>deutsche</strong> Einträge sowie ein <strong>Schweizer</strong> Eintrag auf der Leak-Site.

Typisches Lösegeld

Nicht einheitlich; die Forderungen werden je Opfer individuell gestellt und über ein Tor-Portal oder E-Mail verhandelt.

Opferzahl

78 gelistete Opfer seit 2022 auf der Leak-Site; jüngster Eintrag am 7. Juli 2026, darunter mehrere deutsche und ein Schweizer Eintrag (Stand: 10. August 2026)

File Extensions

wechselnd je Variante – unter anderem .encrypted, .marlock, .matlock20, .deadfilesgr, .datalock, .bec

Ransom Note

HOW_TO_RECOVER_DATA.html beziehungsweise Recovery_Instructions.html (Bezeichnung variiert je Variante)

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Betroffene Systeme netzseitig isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Alle RDP- und Fernzugänge sofort sperren und Passwörter zurücksetzen – das ist bei dieser Familie der Einstiegsweg Nummer eins.
  • Nach der angelegten geplanten Aufgabe suchen und sie entfernen; sonst läuft der Verschlüsseler nach der Bereinigung erneut an.
  • Netzfreigaben und angeschlossene Datenträger trennen – die Schadsoftware erfasst sie gezielt nach.
  • Getrennte, offline gehaltene Backups prüfen; lokale Sicherungen und Schattenkopien sind in der Regel bereits gelöscht.
  • Incident Response aktivieren, Datenabfluss ermitteln und Meldepflichten prüfen: Datenschutzaufsicht binnen 72 Stunden (DSGVO Art. 33), bei NIS2-Betroffenheit Erstmeldung binnen 24 Stunden.
⛔ Unbedingt vermeiden
  • Nicht davon ausgehen, dass die Bereinigung eines einzelnen Rechners genügt – die Schadsoftware verbreitet sich über Netzfreigaben und startet sich zeitgesteuert erneut.
  • Systeme nicht wieder ins Netz nehmen, solange RDP-Zugänge unverändert erreichbar sind.
  • Sich nicht darauf verlassen, dass eine Windows-Schattenkopie die Rettung ist – sie wird gezielt gelöscht.
  • Kein vorschnelles Neuaufsetzen, bevor die Forensik gesichert ist; die Zugangsdaten können weiterhin im Umlauf sein.
  • Keine Zahlung ohne juristische, forensische und gegebenenfalls behördliche Abstimmung.
  • Behauptungen der Leak-Site – auch zu bekannten Markennamen – nicht ungeprüft übernehmen oder weitergeben.

Bekannte Angriffe

  • Deutschland und Schweiz (Juli 2026): ein Block von Einträgen mit mehreren deutschen Mittelständlern und einem Schweizer Unternehmen – der bislang deutlichste DACH-Bezug der Familie.
  • Gesundheitswesen: über Jahre hinweg zahlreiche Kliniken, Praxen und Pflegeeinrichtungen, vor allem in Nordamerika; genau dieser Schwerpunkt war 2022 Anlass für eine eigene Warnung der US-Behörden.
  • Kommunen und Bildung: Schulen, Schulträger und kleinere Verwaltungen mit offen erreichbaren Fernzugängen.
  • Alle Nennungen beruhen auf Einträgen der Leak-Site und sind nicht unabhängig verifiziert; einzelne Einträge der Gruppe nennen bekannte Markennamen, ohne dass ein Vorfall beim genannten Unternehmen bestätigt wäre. Solche Angaben sollten grundsätzlich geprüft und nicht übernommen werden.

Angriffstechniken (TTPs)

  • Initialer Zugang:
    • Direkt erreichbare RDP-Zugänge, schwache oder gestohlene Passwörter, Brute-Force-Angriffe – T1133 (External Remote Services), T1110 (Brute Force), T1078 (Valid Accounts)
    • Seltener Phishing mit Anhang – T1566
  • Verteidigungsumgehung und Vorbereitung:
    • Abschalten von Sicherheitslösungen über Registry-Änderungen – T1562.001
    • Löschen von Schattenkopien und lokalen Sicherungen – T1490 (Inhibit System Recovery)
    • Neustart des Arbeitsstationsdienstes, um Netzlaufwerke zu erfassen – T1489
  • Verbreitung im Netz:
    • Ausbreitung über Netzfreigaben und SMB – T1021.002
    • Persistenz über eine geplante Aufgabe, die den Verschlüsseler wiederholt startet – T1053.005
  • Auswirkung und Erpressung:
    • Verschlüsselung mit wechselnder Datei-Endung – T1486
    • Datenausleitung und Veröffentlichungsandrohung über Leak-Site – T1567, T1657

Technologie & Malware

MedusaLocker verschlüsselt Dateiinhalte mit AES-256 und schützt den verwendeten Schlüssel mit RSA-2048. Die Datei-Endung ist kein verlässliches Erkennungsmerkmal: Je nach Variante hängt der Verschlüsseler unter anderem .encrypted, .marlock, .matlock20, .deadfilesgr oder .datalock an.

Charakteristisch ist die Vorbereitung des Systems vor der Verschlüsselung: Sicherheitslösungen werden über Registry-Änderungen abgeschaltet, Schattenkopien und lokale Sicherungen gelöscht und der Arbeitsstationsdienst neu gestartet, damit verbundene Netzlaufwerke sicher erfasst werden. Eine geplante Aufgabe sorgt dafür, dass der Verschlüsseler in kurzen Abständen erneut anläuft – auch neu angeschlossene Datenträger und später eingebundene Freigaben werden so noch erfasst. Die Erpressernotiz liegt als HTML-Datei in den betroffenen Verzeichnissen.

Indicators of Compromise (IOCs)

  • Datei-Endungen (Auswahl): .encrypted, .marlock, .matlock20, .deadfilesgr, .datalock, .bec – variantenabhängig
  • Erpressernotiz: HOW_TO_RECOVER_DATA.html beziehungsweise Recovery_Instructions.html im jeweiligen Verzeichnis
  • Verschlüsselung: AES-256 für Inhalte, RSA-2048 zum Schlüsselschutz
  • Verhaltens-Indikatoren: Löschen von Schattenkopien, Neustart des Arbeitsstationsdienstes (LanmanWorkstation), neu angelegte geplante Aufgabe mit kurzem Intervall, Registry-Änderungen zur Deaktivierung der Sicherheitssoftware
  • Behördliche Quelle: gemeinsame Warnung von CISA, FBI und Finanzbehörden zu MedusaLocker (AA22-181A, 2022) mit ausführlicher Indikatorenliste
  • Indikatoren vor dem Blocken über aktuelle Threat-Intelligence-Quellen verifizieren.

Was Unternehmen jetzt prüfen sollten

  • Ist irgendein RDP-Zugang aus dem Internet direkt erreichbar? Wenn ja: schließen oder hinter MFA-geschütztes VPN beziehungsweise Gateway legen.
  • Werden fehlgeschlagene Anmeldeversuche an Fernzugängen überwacht und Konten nach wiederholten Fehlversuchen gesperrt?
  • Existiert mindestens eine Sicherung, die vom produktiven Netz getrennt und unveränderlich ist?
  • Alarmiert Ihre Überwachung, wenn Schattenkopien gelöscht oder Sicherheitsdienste abgeschaltet werden?
  • Sind Netzfreigaben restriktiv berechtigt, sodass ein kompromittiertes Konto nicht alle Laufwerke erreicht?
  • Ist geregelt, wer bei einem Vorfall die Meldung an die Datenschutzaufsicht verantwortet – gerade in Praxen, Schulen und Kommunen ohne eigene IT-Abteilung?

Wie Argos unterstützt

MedusaLocker scheitert an guter Grundhygiene – und genau die prüft und überwacht Argos Security. Im Rahmen unserer Vorsorgeleistungen finden wir offen erreichbare Fernzugänge und fehlende Multi-Faktor-Authentifizierung, bevor ein Angreifer sie findet. Das Cyber Defense Center überwacht Ihre Umgebung rund um die Uhr (24/7) und schlägt bei den typischen Vorzeichen an: gehäufte fehlgeschlagene Anmeldungen, gelöschte Schattenkopien, abgeschaltete Sicherheitsdienste und massenhafte Schreibzugriffe auf Dateiservern. Im Ernstfall übernimmt unser Incident-Response-Team Eindämmung, Forensik und Wiederanlauf und begleitet die Meldepflichten – auf Wunsch mit einem Bereitschaftsvertrag, der die Reaktionszeit vertraglich absichert.