BianLian

BianLian hat einen bemerkenswerten strategischen Wandel vollzogen: Nach der Veröffentlichung eines Entschlüsselungstools durch Avast Anfang 2023 wechselte die Gruppe vollständig von Verschlüsselung zu reiner Datenexfiltration und Erpressung. Diese Extortion-only-Strategie macht BianLian besonders schwer zu erkennen, da keine Dateien verschlüsselt werden und der Betrieb nicht sofort gestört wird.

Strategischer Wandel zur Extortion-only

Nachdem Avast im Januar 2023 ein kostenloses Entschlüsselungstool veröffentlicht hatte, gab BianLian die Verschlüsselungskomponente vollständig auf. Die Gruppe konzentriert sich seitdem ausschließlich auf Datendiebstahl und Erpressung. Dies macht Angriffe schwerer zu erkennen — es gibt keine verschlüsselten Dateien, keine Lösegeldforderung auf dem Desktop und keinen unmittelbaren Betriebsausfall.

Angriffsmethodik

BianLian nutzt kompromittierte RDP-Zugänge, VPN-Schwachstellen und gestohlene Zugangsdaten als Einstiegspunkte. Die Gruppe ist bekannt für ihre Geduld: Sie verbleiben oft wochenlang unentdeckt im Netzwerk und exfiltrieren systematisch Daten über verschlüsselte Kanäle. Die Datenexfiltration erfolgt über Megasync, Rclone oder eigene Tools.

Erpressungsstrategie

BianLian kontaktiert Opfer direkt per E-Mail und Telefon und droht mit der Veröffentlichung gestohlener Daten. Die Gruppe betreibt eine Leak-Site und veröffentlicht Daten gestaffelt. Besonders betroffen sind Anwaltskanzleien, Gesundheitseinrichtungen und Finanzdienstleister — Organisationen, bei denen die Vertraulichkeit der Daten geschäftskritisch ist.