bianlian

正体と来歴

BianLian は、ランサムウェアの開発・展開とデータ恐喝を行うサイバー犯罪グループである。FBI・CISA・豪 ASD's ACSC の共同勧告（2024年11月20日更新）は、ロシアを拠点とする可能性が高く、ロシア拠点の複数のアフィリエイトを抱えると評価した [s2]。同勧告は、複数のランサムウェアグループが外国語の名称を選んで所在地や国籍を偽り、帰属判断を難しくしていると指摘している [s2]。RansomLook の記録では初出は 2022-08-18 である。SentinelOne は活動開始を2021年末とし [s6]、FBI は2022年6月以降に米国の重要インフラ分野で被害を観測している [s2]。Palo Alto Networks Unit 42 は、2022年に登場して以来きわめて活発で、リークサイトに新たな被害組織が週単位で掲載されていると述べた [s7]。同社が確認したリークサイトのトップページ（2023年12月）には「Work with us」欄があり、標的組織の関連業者、ソフトウェアエンジニア、ペネトレーションテスター、ジャーナリストに呼びかけている。Unit 42 はこれを新たな開発者やアフィリエイトの募集による拡大の可能性と見ている [s7]。

手口

初期侵入では、侵害された RDP 認証情報を使う [s2]。認証情報は初期アクセスブローカーから入手した可能性が高く、フィッシングも使う [s2]。2024年11月の更新では、WindowsおよびESXi環境の公開アプリケーションが標的とされ、ProxyShell（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）の悪用が示唆された [s2]。SentinelOne は RDP、SonicWall VPN 機器、ProxyShell の悪用を挙げ [s6]、Unit 42 は VPN プロバイダの標的化やウェブシェルにも触れた [s7]。

侵入後は、被害組織ごとに作られた Go 製のカスタムバックドアを設置し、遠隔管理ソフトで永続化と C2 を確保する [s2]。Ngrok や改変版 Rsocks で SOCKS5 トンネルを張り、C2 通信の宛先を隠した可能性がある [s2]。権限昇格には CVE-2022-37969 の悪用が報告された [s2]。PowerShell とコマンドシェルで Windows Defender と AMSI を無効化し、レジストリを変更して Sophos の改ざん防止を外したうえでサービスをアンインストールする [s2]。実行ファイルは UPX でパックされることがある [s2]。

探索には Advanced Port Scanner、SoftPerfect Network Scanner、SharpShares、PingCastle を使う [s2]。認証情報は LSASS メモリや NTDS[.]dit から狙い、Impacket の secretsdump.py で認証ハッシュを取得した例もある [s2]。SessionGopher も使われた [s2]。Unit 42 は SAM レジストリハイブのダンプを観測した [s7]。横展開は PsExec と RDP で行う [s2]。SentinelOne は PowerShell、WMIC、WinRM、TightVNC、NSSM の多用を挙げた [s6]。Unit 42 の観測では、Impacket で計画タスクを作成し、c:\programdata\vmware\ 配下のバックドア DLL を rundll32 で Entry 関数経由で定期実行していた [s7]。

データの持ち出しには FTP、Rclone、Mega を使い、支払いがなければデータを公開すると脅す [s2]。当初は窃取後に暗号化する二重脅迫だったが、FBI は2023年に窃取中心へ移行したと観測した [s2]。同勧告は、2023年1月ごろに主に窃取型へ、2024年1月ごろに完全な窃取型へ移ったとも記している。ASD's ACSC は2023年に窃取のみの恐喝へ移行したと観測した [s2]。暗号化の場合、SentinelOne によればペイロードは Go 製で、全ディスク暗号化は数分から数秒で終わる [s6]。Unit 42 が示した脅迫文は、被害組織が Tox メッセンジャーまたはメールで連絡するよう求め、10日後にデータを掲載すると警告していた [s7]。FBI と ACSC は、金銭、事業、法務上の悪影響を警告する文言も確認した [s2]。

連絡手段とリークサイト

RansomLook の記録による連絡手段は Tox とメールである。Tox ID は A8AD0FD4C931CDAA1408D5A60CBF38CEDF46B41E19A8A55E4EF1F1848AF3416AE52D278D37DFA4B3B0845DA242A64BF17E0DB4278EDF85855739667D3E2AE8B89D5439015F07E81D12D767FC、メールは deepmind@onionmail[.]org、swikipedia@onionmail[.]org、swikipedia[.]reserve@onionmail[.]org である。リークサイト（いずれも停止中）は、本体が hxxp://bianlianlbc5an4kgnay3opdemgcryg2kpfcbgczopmm3dnbz3uaunad[.]onion、ミラーが hxxp://bianlivemqbawcco4cx4a672k2fip3guyxudzurfqvdszafam3ofqgqd[.]onion と hxxp://bianliaoxoeriowgqohcly4a6sbkpc3se2yvxgidxomxlpuhx5ehrpad[.]onion である。SentinelOne は、Tor ベースのブログに加えて I2P ミラーを持つ点を、開始当時としては珍しい特徴と述べ、被害者には qTOX や onionmail アドレスでの連絡を指示すると記した [s6]。

標的と主な被害

FBI は米国の複数の重要インフラ分野での被害を観測した [s2]。ACSC は豪州で主に民間企業を標的とする動きを確認し、重要インフラ1組織を含むとしている。同勧告は専門サービスや不動産開発も挙げた [s2]。Unit 42 のリークサイト分析では医療と製造が中心で、専門・法務サービスも多く、被害は主に北米と欧州で、インドでも確認された。2023年は米国が最も多い [s7]。2023年1月には、カリフォルニア州の病院から患者と従業員の個人データを含む 1.7 TB を窃取したと主張した [s7]。SentinelOne は、医療、教育、政府機関を含め業種を選ばないと述べた [s6]。日本の組織名や被害時期を示す出典は、今回の資料には含まれていない。

動向

Unit 42 は、BianLian がカスタム .NET ツールを Makop ランサムウェアグループと共有していると指摘し、両者の関連の可能性を示した。同じハッシュの Advanced Port Scanner も共通して使われていたが、同一の外部開発者を使った可能性もあり、確認はされていない [s7]。Unit 42 は2022年9月以降、複数の BianLian 事案に対応している [s7]。2023年初めには Avast が BianLian の暗号化ツール用の復号ツールを公開した [s7]。窃取型恐喝への移行は、暗号化を伴わない攻撃が増える傾向とも重なる [s2][s7]。RansomLook の記録では、既知のリークサイトはすべて停止中である。