Medusa e UMMC: la clinica che ha imparato a funzionare offline

Il University of Mississippi Medical Center non è un ospedale tra i tanti. È l'unico ospedale pediatrico dello stato. L'unico trauma center di Livello I. L'unica NICU di Livello IV. L'unico programma trapianti. Diecimila dipendenti. Quando UMMC si ferma, in Mississippi non c'è un secondo posto dove andare.

Il 19 febbraio 2026 si è fermato. Trentacinque sedi cliniche chiuse fino al 2 marzo.

L'origine

Medusa opera come Ransomware-as-a-Service dal giugno 2021. CISA e FBI, nell'advisory congiunto con MS-ISAC, si prendono la briga di precisare una cosa che sembra pedanteria e non lo è: Medusa è distinto da MedusaLocker e distinto dal malware mobile chiamato "Medusa". Tre cose diverse, un nome solo. Confonderle significa applicare le contromisure sbagliate.

Il 12 marzo il gruppo rivendica UMMC sul proprio leak site: 800.000 dollari, deadline al 20 marzo, più 100.000 dollari per estendere di una settimana. Nello stesso periodo Medusa rivendica anche la contea di Passaic, New Jersey, per la stessa cifra. E UMMC è il quarto sistema ospedaliero del Mississippi colpito in tre anni: non un incidente isolato, un pattern regionale.

1. 19 febbraio 2026
   L'attacco

   UMMC si ferma: trentacinque sedi cliniche chiuse.

2. 2 marzo
   La riapertura

   Le sedi cliniche restano chiuse fino a questa data.

3. 12 marzo
   La rivendicazione

   Medusa rivendica UMMC sul proprio leak site.

4. 20 marzo
   La deadline

   Il termine fissato dal gruppo per il pagamento.

5. 23 aprile 2026
   Il breach report assente

   Mississippi Today: UMMC non risulta averlo presentato a HHS/OCR.

Quello che non sappiamo — e va detto subito

Qui la trasparenza viene prima della narrazione, perché su questo caso la tentazione di riempire i vuoti è forte.

• Il vettore di accesso iniziale a UMMC non è stato reso pubblico da nessuna fonte. Non si sa come siano entrati.
• L'advisory CISA AA25-071A è del marzo 2025, quasi un anno prima dell'attacco, e non menziona UMMC. La catena descritta qui sotto è il profilo generale del gruppo, non un report forense su UMMC. È ciò che Medusa fa di solito, non ciò che risulta accertato a Jackson, Mississippi.
• L'attribuzione a Medusa deriva unicamente dalla rivendicazione sul leak site del gruppo e dalla stampa. UMMC non ha mai confermato pubblicamente l'attore, né se abbia pagato.
• Il volume esfiltrato — 1 TB, un milione di file — è dichiarato dai criminali stessi. Non è verificato. La parte lesa non l'ha confermato, e l'estorsore ha ovvio interesse a gonfiare la cifra.
• Mississippi Today, il 23 aprile 2026, riporta che UMMC non risulta aver presentato un breach report a HHS/OCR.

La catena d'attacco

(Profilo generale Medusa da AA25-071A — ATT&CK v16. Non confermato su UMMC.)

L'ingresso avviene via Initial Access Broker, phishing (T1566) o sfruttamento di CVE note su asset esposti (T1190). Segue la ricognizione con Advanced IP Scanner e SoftPerfect (T1046), ed enumerazione via PowerShell — systeminfo, net share, ipconfig /all (T1082, T1059.001).

L'evasione è metodica: certutil per scaricare payload, PowerShell offuscato in base64/gzip, cancellazione della cronologia PowerShell, e driver firmati per disattivare l'EDR (T1562.001). Il C2 passa da Ligolo e Cloudflared. Le credenziali arrivano da Mimikatz su LSASS (T1003.001).

Il movimento laterale è quasi interamente living-off-the-land: PsExec via openrdp.bat (T1569.002), RDP (T1021.001), e strumenti RMM legittimi — AnyDesk, Atera, ConnectWise, SimpleHelp, Splashtop. Nessuno di questi è malware. Tutti sono probabilmente già installati da qualche parte nella vostra rete.

Poi Rclone per l'esfiltrazione (T1567.002), e infine l'encryptor gaze.exe: AES-256, estensione .medusa (T1486), con distruzione delle shadow copy (T1490). Doppia estorsione, contatto entro 48 ore via Tor o Tox, 10.000 dollari per estendere di un giorno (T1657).

1. 01
   Accesso iniziale

   broker, phishing o CVE note su asset esposti
2. 02
   Ricognizione

   Advanced IP Scanner, SoftPerfect e PowerShell
3. 03
   Evasione

   driver firmati per disattivare l'EDR, PowerShell offuscato
4. 04
   Movimento laterale

   PsExec e RDP, più RMM legittimi già presenti in rete
5. 05
   Esfiltrazione e impatto

   Rclone verso il cloud, poi gaze.exe e shadow copy distrutte

Detection

Hash:

openrdp.bat   MD5  44370f5c977e415981febf7dbb87a85c
pu.exe        MD5  80d852cd199ac923205b61658a9ec5bc

Artefatti: ransom note !!!READ_ME_MEDUSA!!!.txt; estensione .medusa; processo gaze.exe.

Comportamenti da allertare — questi valgono più degli hash, che cambiano:

vssadmin.exe Delete Shadows /all /quiet

Un comando che distrugge le shadow copy non ha uso legittimo in un ambiente sanitario. Da monitorare anche: PowerShell con blocchi base64/gzip, cancellazione della cronologia PowerShell, caricamento di driver firmati noti come vulnerabili, e comparsa di tool RMM su host che non ne hanno mai avuti.

Email di negoziazione: key.medusa.serviceteam@protonmail.com, MedusaSupport@cock.li.

Rimedi

• Patch degli asset esposti. È il vettore che Medusa preferisce quando non compra l'accesso.
• Segmentazione di rete. In sanità è la differenza tra perdere un reparto e perdere 35 sedi.
• MFA su tutti i servizi remoti, RDP incluso.
• Backup offline, immutabili e testati. Immutabili, perché Medusa cancella le shadow copy. Testati, perché un backup mai ripristinato è un'ipotesi.
• Audit degli account privilegiati.
• Un piano di continuità testato per operare offline. Questo non è l'ultimo punto della lista. È il primo, e la ragione sta nel paragrafo che segue.

Cosa insegna

L'aspetto più notevole del caso UMMC non è tecnico. È organizzativo.

Mentre l'IT era fermo, il reparto di oncologia ha costruito — in tempo reale, durante l'emergenza — quella che Devika Das, direttrice di ematologia e oncologia, ha descritto a The Record come:

"una clinica di infusione urgente completamente funzionante e offline"

Va letta due volte. I pazienti oncologici in terapia infusionale non possono aspettare che si ripristini un dominio Active Directory: la chemioterapia ha una finestra temporale. Senza cartelle cliniche elettroniche, senza sistemi di ordini, senza rete, quel reparto ha ricostruito la funzione clinica su carta e procedura umana. Non hanno recuperato l'IT: hanno recuperato la cura, che non è la stessa cosa.

È la dimostrazione che la resilienza operativa non è un sottoprodotto della resilienza informatica. Sono due capacità distinte, e la seconda non implica la prima. Ogni piano di continuità che comincia con "ripristiniamo i sistemi entro X ore" sta rispondendo alla domanda sbagliata. La domanda giusta è: cosa continuiamo a fare, in concreto, se i sistemi non tornano oggi? UMMC ha dovuto rispondere improvvisando. Chi ha già la risposta scritta e provata, improvvisa molto meno.

Sul fronte criminale, la struttura di estorsione Medusa merita attenzione perché mostra dove sta andando il modello. Paghi per cancellare i dati. Paghi per estendere la deadline. Oppure un terzo paga per comprarli. Non è più un ricatto a due, con una vittima e un estorsore. È un'asta aperta, in cui la vittima è solo uno dei potenziali acquirenti dei propri dati — e non necessariamente quello che offre di più.

E resta il fatto strutturale: quattro ospedali del Mississippi in tre anni. Non è sfortuna. È un settore identificato come vulnerabile in una regione identificata come vulnerabile, colpito ripetutamente perché ha funzionato ripetutamente.