BianLian

2022.06    BianLian 首次出现
           Go 语言编写，AES-256 + RSA-2048 混合加密
           .bianlian 扩展名
    ↓
2022.06 – 2023.01  【第一阶段：双重勒索】
           加密系统 + 数据外泄威胁
           攻击美国关键基础设施
    ↓
2023.01 – 2024.01  【第二阶段：主要转向数据外泄】
           Avast 发布免费解密工具后
           加密能力被削弱，转向数据窃取为主
    ↓
2024.01 – 至今     【第三阶段：纯数据外泄勒索】
           完全放弃加密
           仅通过窃取并威胁公开数据进行勒索
           打印机勒索信 + 威胁电话 + USPS 实体信
    ↓
2024.11    CISA/FBI/ACSC 更新联合通告 AA23-136A
    ↓
2025.02    USPS 实体勒索信活动（美国医疗高管）
           多数收信组织未遭实际入侵——恐吓诈骗
    ↓
2025.04    利用 SAP CVE-2025-31324 零日漏洞

┌──────────────────────────────────────────────────────┐
│           BianLian 关联组织网络                        │
├──────────────────────────────────────────────────────┤
│                                                        │
│  ┌─────────────────┐                                  │
│  │ BianLian 核心    │ 俄罗斯关联                       │
│  │（独立运营）       │ 数据勒索 + 加密（2024年前）      │
│  └────────┬────────┘                                  │
│           │                                            │
│           └──→ Makop 勒索组织                          │
│                共享 .NET 工具（文件枚举/数据外泄）      │
│                TTPs 高度相似                            │
│                可能存在合作关系或共用开发者              │
│                                                        │
└──────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────┐
│        BianLian 纯数据外泄勒索模型                     │
├──────────────────────────────────────────────────────┤
│                                                        │
│  第一阶段：数据窃取                                    │
│  ├── FTP / Rclone / Mega 多渠道外传                   │
│  ├── system.exe 枚举注册表/文件/剪贴板                │
│  └── PowerShell 压缩/加密数据                         │
│                                                        │
│  第二阶段：多重施压                                    │
│  ├── 暗网泄露站公开数据                               │
│  ├── 网络打印机打印勒索信                              │
│  ├── 威胁电话拨打受害者高管                            │
│  └── USPS 实体勒索信（2025年2月起）                    │
│                                                        │
│  关键区别：                                            │
│  ├── 不加密任何文件                                    │
│  ├── 传统加密检测完全失效                              │
│  ├── 防御重点转向数据外泄检测                          │
│  └── 赎金范围：$150K - $500K（比特币支付）             │
│                                                        │
└──────────────────────────────────────────────────────┘

被盗 RDP 凭证 / ProxyShell / SAP 零日 / 钓鱼
    ↓
自定义 Go 后门（受害者定制）
    ↓
RMM 工具（TeamViewer/AnyDesk/Atera）+ Web Shell
    ↓
LSASS 转储 / NTDS.dit / SessionGopher / Impacket（凭证窃取）
    ↓
CVE-2022-37969 / Zerologon（权限提升）
    ↓
Advanced IP Scanner / SoftPerfect / PingCastle（网络发现）
    ↓
RDP / SMB / PsExec（横向移动）
    ↓
FTP / Rclone / Mega（数据外传）
    ↓
纯数据勒索：泄露站 + 打印机 + 威胁电话 + USPS 实体信

title: BianLian - Suspicious File Creation in ProgramData
id: a1b2c3d4-e5f6-7890-abcd-bianlian001
status: experimental
description: 检测 BianLian 勒索软件在 ProgramData 目录创建可疑文件的行为
logsource:
  category: file_event
  product: windows
detection:
  selection:
    TargetFilename|contains:
      - '\ProgramData\'
    TargetFilename|endswith:
      - '\encryptor.exe'
      - '\system.exe'
      - '\sliver.bat'
  condition: selection
level: critical
tags:
  - attack.execution
  - attack.t1059

title: BianLian - Ngrok/Rsocks Reverse Proxy Usage
id: a1b2c3d4-e5f6-7890-abcd-bianlian002
status: experimental
description: 检测 BianLian 使用 Ngrok 或修改版 Rsocks 反向代理工具
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith:
      - '\ngrok.exe'
      - '\rsocks.exe'
  condition: selection
level: high
tags:
  - attack.command_and_control
  - attack.t1090

title: BianLian - LSASS Memory Access
id: a1b2c3d4-e5f6-7890-abcd-bianlian003
status: experimental
description: 检测 BianLian 从 LSASS 进程内存提取凭证的行为
logsource:
  category: process_access
  product: windows
detection:
  selection:
    TargetImage|endswith: '\lsass.exe'
    GrantedAccess|contains:
      - '0x1010'
      - '0x1410'
      - '0x1438'
  condition: selection
level: critical
tags:
  - attack.credential_access
  - attack.t1003.001

rule BianLian_Ransomware {
    meta:
        description = "检测 BianLian 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-06-24"
        reference = "CISA/FBI/ACSC AA23-136A"
    strings:
        $s1 = ".bianlian" ascii
        $s2 = "Look at this instruction.txt" ascii
        $s3 = "encryptor.exe" ascii
        $s4 = "system.exe" ascii
        $s5 = "sliver.bat" ascii
        $s6 = "BianLian" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        3 of ($s*) and $hex1
}