BianLian は、2022年から活動が確認されているランサムウェアを駆使したサイバー犯罪集団で、彼らが使用するランサムウェアも同じくBianLianと呼ばれています。

ランサムウェアのBianLianの主な標的はWindowsシステムです。観測され始めた当初は二重脅迫型のランサムウェア攻撃でしたが、最近では暴露型へと犯罪スキームが変化しています。

主な活動拠点は欧米やオーストラリア

BianLianの名前については、中国四川省に伝わる伝統芸能「變臉」に由来しているのではないかと言われていますが、このランサムウェアグループに所属しているメンバーの国籍などの情報は明らかにされていません。政治的な意図はあまり感じらないことから、金銭の窃取が目的の集団であると考えられています。BianLianのリークサイトにはリクルート情報まで掲載されており「Work with us (私たちと一緒に働きましょう)」といった内容も掲載されており、国境のない犯罪者集団の可能性もあります。

BianLianは非常に活発に行動するランサムウェアグループであることも知られており、欧米やオーストラリアの重要インフラを中心に、さまざまな分野の組織を攻撃しています。特に狙われていると言われているのがヘルスケア分野で、病院の患者や従業員の個人情報を窃取したという情報もあります。そのため、米連邦捜査局（FBI）、米国土安全保障省サイバーセキュリティー・インフラストラクチャー・セキュリティー庁（CISA）、オーストラリア・サイバー・セキュリティー・センター（ACSC）などが共同で注意を呼び掛けています。

欧米やオーストラリアが活動の中心ではあるものの、東南アジアにある日系企業の海外法人が標的となったことも報告されています。既に日本企業にとっても、BianLianは対岸の火事とは言えないかもしれません。

二重脅迫型から暴露型へと変化している

ランサムウェアのBianLianはオープンソースのプログラミング言語「Go」で記述されており、主な標的はWindowsシステムです。2022年頃からBianLianの攻撃が観測されるようになっていますが、当初は二重脅迫型のランサムウェア攻撃でした。つまり、「データ暗号化」と「窃取した機密情報の暴露」を理由に脅迫し、身代金を脅し取る犯罪スキームです。そのため、他のランサムウェアと同様に暗号化機能を有し、検出されることを防ぐためにファイルを複数のデータ(チャンク)に分けるなどのテクニックも駆使しています。

ところが2023年1月、ウイルス対策ソフトウェア企業のAvast Software社が、BianLianによって暗号化されたデータを復号化するツールを無償で公開したことで、データの暗号化を実行せずに機密情報の暴露のみで脅迫するスキームへと変化しています。データが暗号化されることによる業務停止は発生しませんが、財務情報、顧客情報、製品設計に関連する情報など、公開されれば企業の信頼性を失う、あるいは競争優位性を失う可能性のある情報による脅迫ですから説得力はあります。

また、近年はサイバー攻撃者の分業化が進んでいると言われており、マルウェア開発、システムの侵入、脅迫の実行などが別の組織で実行するケースも報告されています。BianLianも他のランサムウェアグループMakopとマルウェアなどを共有しており、その関係性が噂されています。このように組織同士が密接に繋がることで、より多くの標的に対して同時にさまざまな攻撃が可能になると言われています。

BianLianへの対策方法

暴露型へと攻撃スキームが移行したことで、BianLianを「ノーランサム」と呼ぶメディアもありますが、身代金 (ランサム) を脅し取る暴露型の攻撃であることは間違いありません。

BianLianは独自のツールを対象のシステム内に侵入させてバックドアを仕掛けます。このバックドアツールもGO言語で記述されており、外部から追加のペイロード(悪意あるコード)をダウンロードする際にも利用されます。こうして作成されたバックドアから、機密情報が外部に持ち出されてしまうことになります。侵入にリモートデスクトップ(RDP)を使用することも多く、RDPツールなどの脆弱性を悪用することでも知られています。同様にVPNのベンダーを標的にすることもあります。

BianLianへの対処は基本的に他のランサムウェアと同様です。まずは「EPP（Endpoint Protection Platform）」によって侵入経路となるエンドポイント、特にRDPやVPNの経路をきちんと監視した上で、振る舞い検知など「EDR（Endpoint Detection and Response）」によって侵入後の対策を実施します。

そしてもっとも重要な対策は「身代金を絶対に支払わない」ことだと言えるでしょう。身代金を支払ったからといって、窃取されたデータが公開されない保証はどこにもありません。繰り返し高額な身代金を要求される、あるいは身代金を支払ったのに情報を公開されてしまったケースもあります。企業の信頼度に大きく影響する問題であるため経営者の決断には勇気が必要ですが、世界的な傾向としてランサムウェアの被害に遭っても、確固たる意志を持って犯罪には屈しない姿勢を示すようになっています。

まとめ

BianLianは主にWindowsを標的としたランサムウェアグループ
以前は二重脅迫型だったが、最近では暴露型へと犯罪スキームを変化させている
対策方法は他のランサムウェアと同じ