Iframe is blocked. Accept cookies to load it.

Wir verwenden Cookies, um die Funktion unserer Website sicherzustellen und Ihr Nutzungserlebnis zu verbessern. Einige Cookies sind technisch notwendig, andere helfen uns, die Website zu analysieren und unsere Inhalte zu optimieren. Details finden Sie in unserer Datenschutzerklärung.

Enter
PREPARE
PROTECT
DETECT
RESPOND
IMPROVE
Login
Vorfall melden!
Schließen
Navigation
Kontaktinformation
+49 89 45 24 24-100
kontakt@argos.security
Leistungen
ÜBER UNS
News & Insights
Servicecenter
Zurück
Schließen
Threat Intelligence

BianLian

BianLian hat das Verschlüsseln weitgehend aufgegeben – und erpresst nur noch mit gestohlenen Daten.

Vorfall melden
Kurz erklärt

BianLian ist eine seit 2022 aktive Gruppe, die 2023 von Verschlüsselung auf reine Datenerpressung umgestellt hat: Sie stiehlt Daten und droht mit Veröffentlichung, ohne Systeme zu verschlüsseln. Schwerpunkte sind Gesundheitswesen, Produktion und professionelle Dienstleistungen; CISA und FBI warnten mehrfach.

Historisch

Modell

Privates Kollektiv

Auch bekannt als

BianLian

Gegründet

Juni 2022

Entstanden aus

Keine direkte Verbindung bekannt

Herkunft

Russland (stark vermutet)

Zielsektoren

Gesundheitswesen, kritische Infrastruktur, professionelle Dienstleistungen, Medien

Zielregionen

USA (70 %), Australien, DACH

Typisches Lösegeld

100.000 – 5 Mio. USD (seit 2023 reine Erpressung ohne Verschlüsselung)

Opferzahl

Seit Q2 2025 eingestellt; letzte Veröffentlichung März 2025 (Check Point Q2/2025)

File Extensions

keine (reine Datenerpressung; früh .bianlian)

Ransom Note

!!! Look at this instruction.txt

Handlungsempfehlungen im Ernstfall

✅ Sofort tun
  • Ruhe bewahren und den Vorfall als Krise behandeln – Geschäftsführung und einen Incident-Response-Dienstleister sofort einbinden.
  • Betroffene Systeme vom Netz isolieren, aber nicht ausschalten – flüchtige Spuren im Arbeitsspeicher bleiben so erhalten.
  • Datenabfluss eingrenzen: welche Daten sind betroffen? (BianLian erpresst mit gestohlenen Daten, ohne zu verschlüsseln.)
  • Vorfall dokumentieren; Meldepflichten prüfen: DSGVO (72 h), ggf. NIS2 (24 h); BSI und Polizei einbeziehen.
  • 24/7-Incident-Response kontaktieren – je früher, desto begrenzbarer der Schaden.
⛔ Unbedingt vermeiden
  • Nicht vorschnell Lösegeld zahlen – keine Garantie für Nicht-Veröffentlichung; Zahlungen können sanktions- und strafrechtlich relevant sein.
  • Systeme nicht neu aufsetzen oder „sauber wischen“, bevor die Forensik gesichert ist.
  • Nicht allein mit den Angreifern verhandeln – nur über erfahrene IR-/Verhandlungsexperten.
  • Den Datenabfluss nicht unterschätzen – auch ohne Verschlüsselung drohen Veröffentlichung und Meldepflichten.
  • Keine dubiosen „Tools“ aus dem Netz einsetzen.
  • Den Vorfall nicht verschweigen oder verzögern – Meldefristen laufen ab Kenntnisnahme.

Bekannte Angriffe

  • Air Canada (Okt. 2023, Mitarbeiterdaten)
  • Hospital Sisters Health System (Nov. 2023)
  • Boston Children's Health Physicians (2023)

Angriffstechniken (TTPs)

  • Initial Access: Gestohlene/gekaufte RDP-Zugänge (Hauptvektor), VPN-Missbrauch, Phishing.
    • Exploits: ProxyShell (CVE-2021-34473/34523/31207), CVE-2022-37969; Webshells auf Exchange
    • MITRE: T1078, T1021.001, T1190, T1566
  • Vorgehen: Seit 2023 reine Datenexfiltration ohne Verschlüsselung (nach FBI/CISA-Decryptor Jan. 2023); Anlegen mehrerer Domain-Admin-Konten.

Technologie & Malware

Sprache: Go (64-bit Windows).

Frühere Verschlüsselung (bis Anfang 2024): ECDH + ChaCha20, segmentiert in 10-Byte-Blöcken zur Tarnung. Seit 2023 verzichtet BianLian jedoch weitgehend auf Verschlüsselung und setzt nur noch auf Datendiebstahl.

Indicators of Compromise (IOCs)

  • File Extension: keine (reine Erpressung); früh .bianlian
  • Ransom Note: !!! Look at this instruction.txt
  • Ausgenutzte CVEs: ProxyShell (CVE-2021-34473/34523/31207), CVE-2022-37969
  • Besonderheit: reine Datenerpressung, kein Verschlüsseln

Was Unternehmen jetzt prüfen sollten

  • RDP-/VPN-Zugänge absichern: MFA, keine exponierten Dienste
  • Erkennung ungewöhnlicher Datenabflüsse (DLP/Monitoring)
  • Datensparsamkeit und Verschlüsselung sensibler Ablagen
  • DSGVO-Meldeprozesse vorbereitet

Wie Argos unterstützt

Identity- und Datenabfluss-Monitoring im Cyber Defense Center, Absicherung von Fernzugängen und forensische Klärung im Ernstfall.

Incident Response anfordern
IR-Retainer →Managed XDR →Alle Threat Actors →