MedusaLocker 勒索软件行为者通常通过易受攻击的远程桌面协议 （RDP） 配置 访问受害者设备。行为者还经常使用电子邮件网络钓鱼和垃圾邮件活动（直接将勒索软件附加到电子邮件中）作为初始入侵媒介 。 MedusaLocker 勒索软件使用批处理文件执行 PowerShell 脚本 。此脚本通过编辑受感染机器注册表中的值，将 MedusaLocker 传播到整个网络，然后允许受感染机器通过 Internet 控制消息协议 （ICMP） 检测连接的主机和网络，并通过服务器消息块 （SMB） 协议检测共享存储。invoke-ReflectivePEInjectionEnableLinkedConnections MedusaLocker 然后：

• 重新启动服务，这将使注册表编辑生效。LanmanWorkstation
• 终止知名安全、会计和取证软件的进程。
• 以安全模式重新启动本机以避免被安全软件检测到。
• 使用 AES-256 加密算法加密受害者文件;然后使用 RSA-2048 公钥 对生成的密钥进行加密。
• 每 60 秒运行一次，加密所有文件，但对受害者计算机功能至关重要的文件和具有指定加密文件扩展名的文件除外。
• 通过将可执行文件 （ 或 ） 复制到目录并安排任务每 15 分钟运行一次勒索软件来建立持久性。svhost.exesvhostt.exe%APPDATA%\Roaming
• 尝试通过删除本地备份、禁用启动恢复选项和删除卷影副本来阻止标准恢复技术。 MedusaLocker 演员将赎金票据放入每个包含受害者加密数据的文件的文件夹中。该说明概述了如何与 MedusaLocker 演员沟通，通常为受害者提供一个或多个可以联系到演员的电子邮件地址。MedusaLocker 赎金要求的大小似乎根据演员感知的受害者的财务状况而有所不同。