Vue d’ensemble
Les opérations du rançongiciel BianLian ont commencé fin 2021. Le groupe pratique une extorsion à plusieurs volets : il exige un paiement pour le déchiffreur, ainsi que pour la non-divulgation des données volées. Il héberge un blog public sur TOR pour publier l’identité des victimes et les données volées. À son lancement, BianLian se distinguait en proposant aussi un miroir I2P de son blog.
- Premier suivi: 2022-07-14
- Citée dans nos rapports: Bahreïn
Ce que disent les sources publiques
- Un avis conjoint du FBI, de la CISA et de l’ACSC australien décrit BianLian comme probablement basé en Russie, avec des affiliés russes, et note que des groupes choisissent des noms étrangers pour brouiller l’attribution. Depuis janvier 2024, il s’appuie uniquement sur le vol de données, sans chiffrement.
Australian ACSC · FBI IC3 advisory
Géographie : origine et cibles
Origine estimée: Russie. Un avis conjoint du FBI, de la CISA et de l’ACSC décrit le groupe comme probablement basé en Russie, avec des affiliés russes. L’attribution est incertaine : à lire comme une évaluation, pas comme une preuve.
États-Unis d'Amérique167
Canada15
Inde12
Royaume-Uni8
Australie8
Italie3
Allemagne3
Suède3
Singapour3
Indonésie3
Vulnérabilités exploitées
| Éditeur | Produit | CVE | Catégorie | Source |
|---|---|---|---|---|
| JetBrains | TeamCity | CVE-2024-27198 | Applications | www.guidepointsecurity.com |
| JetBrains | TeamCity | CVE-2023-42793 | Applications | www.guidepointsecurity.com |
| SAP | NetWeaver | CVE-2025-31324 | Applications | reliaquest.com |
| Windows | NetLogon | CVE-2020-1472 | Microsoft | cisa.gov, cisa.gov, cisa.gov, cisa.gov, cisa.gov, thedfirreport.com, thedfirreport.com, cisa.gov, cisa.gov, welivesecurity.com, cisa.gov, thedfirreport.com, checkpoint.com |
Techniques ATT&CK
Les colonnes sont les tactiques ATT&CK ; chaque cellule est une technique rapportée pour ce groupe dans des sources publiques. Une technique présente ici a été rapportée pour le groupe, pas forcément utilisée dans un incident précis, et une cellule vide ne prouve pas que le groupe ne l’emploie pas.
Détail des techniques
Exécution (TA0002)
- T1059 · Command and Scripting Interpreter: Les adversaires peuvent abuser des interpréteurs de commandes et de scripts pour exécuter des commandes, des scripts ou des binaires.
- T1204 · User Execution: Un adversaire peut compter sur des actions précises de l’utilisateur pour obtenir l’exécution.
Évasion des défenses (TA0005)
- T1027.002 · Software Packing: Les adversaires peuvent recourir au packing logiciel ou à la protection par machine virtuelle pour dissimuler leur code.
- T1036 · Masquerading: Les adversaires peuvent manipuler les caractéristiques de leurs artefacts pour les faire paraître légitimes ou inoffensifs aux utilisateurs et/ou aux outils de sécurité.
- T1497 · Virtualization/Sandbox Evasion: Les adversaires peuvent employer divers moyens pour détecter et éviter les environnements de virtualisation et d’analyse.
Découverte (TA0007)
- T1082 · System Information Discovery: Un adversaire peut chercher à obtenir des informations détaillées sur le système d’exploitation et le matériel, notamment la version, les correctifs, les hotfix, les service packs et l’architecture.
- T1083 · File and Directory Discovery: Les adversaires peuvent énumérer des fichiers et des répertoires ou rechercher, à des emplacements précis d’un hôte ou d’un partage réseau, certaines informations dans un système de fichiers.
- T1120 · Peripheral Device Discovery: Les adversaires peuvent chercher à recueillir des informations sur les périphériques et composants connectés à un ordinateur.
- T1518.001 · Security Software Discovery: Les adversaires peuvent chercher à obtenir la liste des logiciels de sécurité, des configurations, des outils défensifs et des capteurs installés sur un système ou dans un environnement cloud.
Déplacement latéral (TA0008)
- T1091 · Replication Through Removable Media: Les adversaires peuvent atteindre des systèmes, y compris sur des réseaux déconnectés ou isolés, en copiant un logiciel malveillant sur des supports amovibles et en tirant parti de l’exécution automatique à l’insertion du support.
Impact (TA0040)
- T1486 · Data Encrypted for Impact: Les adversaires peuvent chiffrer des données sur les systèmes cibles ou sur un grand nombre de systèmes d’un réseau pour interrompre la disponibilité des ressources système et réseau.
Outils
- RDP Recognizer
- Advanced IP Scanner
- Advanced Port Scanner
- PingCastle
- SharpShares
- SoftPerfect NetScan
- WKTools
- MEGA
- RClone
- PsExec
- Impacket
- AmmyyAdmin
- AnyDesk
- Atera
- ScreenConnect
- Splashtop
- TeamViewer
Infrastructure des sites de fuite
| Titre | Type | Adresse (neutralisée) | En ligne à la date du relevé |
|---|---|---|---|
| — | DLS | bianliaoxoeriowgqohcly4a6sbkpc3se2yvxgidxomxlpuhx5ehrpad[.]onion | Non |
| BianLian | Home | DLS | bianlivemqbawcco4cx4a672k2fip3guyxudzurfqvdszafam3ofqgqd[.]onion | Non |
| BianLian | Home | DLS | bianlianlbc5an4kgnay3opdemgcryg2kpfcbgczopmm3dnbz3uaunad[.]onion | Non |
Sources et réserves
Les descriptions, cartographies ATT&CK, outils et emplacements de sites de fuite proviennent de projets publics de suivi des rançongiciels, dont ransomware.live et Crocodyli. Les vulnérabilités exploitées proviennent de la Ransomware-Vulnerability-Matrix de BushidoUK (licence CC BY 4.0), complétée lorsqu’un profil y est plus récent que nos données. Chaque CVE renvoie à sa source de recherche d’origine. Les textes techniques sont affichés en anglais, tels que publiés. Les adresses des sites de fuite sont neutralisées et fournies pour le blocage et la détection ; ne les visitez pas. ClairSec_ n’a vérifié aucun de ces éléments face à un incident précis.
Relevé du: 2026-10-11