Warum Cybersicherheitsfirmen Hackergruppen Decknamen geben

Decknamen existieren, weil Forscher eine gemeinsame, dauerhafte Bezeichnung für ein Bündel bösartiger Aktivitäten brauchen – lange bevor sie einzelne Personen identifizieren oder eine Strafverfolgung einleiten können . Wie Shane Huntley, CTO von GTIG, in Interviews erklärte, fungiert ein Deckname als „dauerhafter Anker“. Er erlaubt Analysten aus verschiedenen Organisationen, Kontinenten und Branchen, sofort Informationen über denselben Gegner auszutauschen . Eine richtig benannte Gruppe wird von einer diffusen Sammlung von IPs, Malware-Signaturen und Taktiken zu einer verfolgbaren Einheit, die über Jahre hinweg untersucht werden kann .

Bevor eine Hackergruppe einen endgültigen Namen erhält, beginnt sie meist als temporäres Tracking-Cluster, das mit einem UNC-Label (Uncategorized) und einer Nummer wie UNC1878 bezeichnet wird . Erst wenn genügend Beweise vorliegen, wird die Gruppe in den Rang eines benannten Decknamens erhoben.

Das Fragmentierungsproblem: Zu viele Namen für dieselbe Bedrohung

Das Wachstum der Bedrohungslandschaft hat den alten Ansatz überfordert. Googles Chefanalyst John Hultquist wies darauf hin, dass das Unternehmen inzwischen über 5.000 „Aktivitätscluster“ in mehreren Ländern verfolgt – eine Menge, die jede einfache Nummerntaxonomie unbrauchbar macht . Bei so vielen Entitäten wurden die aufeinanderfolgenden APT-Nummern genauso verwirrend wie hilfreich.

„Selbst Brancheninsider können oft nicht mehr Schritt halten“, sagte Huntley gegenüber TechCrunch . Jeder Sicherheitsanbieter hat seine eigene Taxonomie. Microsoft verwendet wetterbezogene Namen (Nobelium, Seashell Blizzard), CrowdStrike tierbezogene Namen (Cozy Bear, Fancy Bear) und Palo Alto Networks ein eigenes System (z. B. Muddled Libra) . Diese Fragmentierung verlangsamt die Reaktion auf Vorfälle, weil Teams Zeit damit verschwenden, Bezeichnungen abzugleichen, anstatt den Schaden zu begrenzen . Huntley erklärte, dass es nicht realistisch sei, verschiedene Unternehmen auf ein universelles System zu einigen, da jede Organisation andere Sichtweisen, Daten und operative Anforderungen habe .

Googles neues Namenssystem: Zufälliger Name + Herkunftswort

Das neue System von GTIG ersetzt die alten APT-Nummern (APT1, APT41 usw.) von Mandiant und vereinheitlicht die Ansätze, die sich zuvor innerhalb von Googles Threat Analysis Group und Mandiant unabhängig entwickelt hatten .

Das neue Format besteht aus zwei Teilen :

• Erstes Wort — ein einprägsamer, zufällig gewählter Name, der die jeweilige Gruppe eindeutig identifiziert. Wenn für eine Gruppe bereits ein bekannter Name aus der öffentlichen Berichterstattung existiert (z. B. Lazarus), behält GTIG diesen etablierten Namen bei .
• Zweites Wort — eine feste Kategoriebezeichnung, deren erster Buchstabe das vermutete Herkunftsland oder die Aktivitätsart signalisiert. Die vier bestätigten Länderkürzel sind :
  • Castle → China
  • Ion → Iran
  • Neptune → Nordkorea
  • Relic → Russland

Das System ist nicht auf diese vier Kategorien beschränkt; Google hat die Taxonomie so aufgebaut, dass bei Bedarf weitere Kategorienwörter hinzugefügt werden können . Huntley sagte, die Änderung solle es „Forschern innerhalb und außerhalb des Unternehmens erleichtern, verschiedene Bedrohungsgruppen klar zu identifizieren“ und es Verteidigern ermöglichen, auf einen Blick die Herkunft, Beweggründe und Aktivitätsart eines Angreifers zu verstehen .

Die tiefere Herausforderung: Staatsakteure, Kriminelle und Söldner verschwimmen

Die Namensreform hilft zwar, löst aber nicht das grundlegendste Problem der Bedrohungsanalyse: die klare Trennung von staatlich gesteuerten „Advanced Persistent Threats“ (APTs), Cyberkriminellen und kommerziellen Söldner-Hackern .

Diese Kategorien überschneiden sich in der Praxis erheblich. Staatsnahe Gruppen übernehmen manchmal kriminelle Ransomware-Taktiken, um Einnahmen zu erzielen oder ihre Herkunft zu verschleiern . Kriminelle Gruppen verkaufen Zugänge und Werkzeuge an staatlich unterstützte Akteure. Söldnerfirmen agieren in beiden Welten. Das Personal, die Werkzeuge und die Auswirkungen sind oft nicht zu unterscheiden .

Hultquist hat darauf hingewiesen, dass Googles über 5.000 verfolgte Cluster Staatsakteure, Cyberkriminelle und Söldner-Spyware-Anbieter umfassen – und die Grenzen verwischen ständig . KI-generiertes Phishing und automatisierte Aufklärungswerkzeuge machen die Unterscheidung noch schwieriger .

Googles neues Namenssystem hilft, indem es den Herkunftskontext direkt in die Gruppenbezeichnung einbettet. Es kann jedoch die zugrundeliegende Unklarheit nicht beseitigen: Eine Gruppe kann in einer Kampagne als staatlich unterstützte Spionageeinheit und in einer anderen als freiberuflicher Ransomware-Betreiber agieren. Gruppen benennen sich häufig um oder teilen sich Infrastruktur .

Fazit

Decknamen liefern einen kritischen, gemeinsamen Wortschatz, um Gegner in der Cybersicherheitsbranche zu verfolgen. Aber die inkonsistenten Benennungssysteme der Anbieter haben gefährliche Verwirrung gestiftet. Googles neues Zwei-Wort-Schema – ein zufälliger Vorname gepaart mit einem herkunftsanzeigenden zweiten Wort – geht diese Fragmentierung für die eigenen über 5.000 Cluster direkt an. Die Änderung macht es Verteidigern leichter, schnell zu verstehen, wem sie gegenüberstehen. Doch die tiefere Schwierigkeit, Staatsakteure von Kriminellen und Söldnern zu trennen, bleibt eine fortlaufende operative Herausforderung, die keine Namensreform vollständig lösen kann.

Warum Cybersicherheitsfirmen Hackergruppen Decknamen geben

Decknamen existieren, weil Forscher eine gemeinsame, dauerhafte Bezeichnung für ein Bündel bösartiger Aktivitäten brauchen – lange bevor sie einzelne Personen identifizieren oder eine Strafverfolgung einleiten können . Wie Shane Huntley, CTO von GTIG, in Interviews erklärte, fungiert ein Deckname als „dauerhafter Anker“. Er erlaubt Analysten aus verschiedenen Organisationen, Kontinenten und Branchen, sofort Informationen über denselben Gegner auszutauschen . Eine richtig benannte Gruppe wird von einer diffusen Sammlung von IPs, Malware-Signaturen und Taktiken zu einer verfolgbaren Einheit, die über Jahre hinweg untersucht werden kann .

Bevor eine Hackergruppe einen endgültigen Namen erhält, beginnt sie meist als temporäres Tracking-Cluster, das mit einem UNC-Label (Uncategorized) und einer Nummer wie UNC1878 bezeichnet wird . Erst wenn genügend Beweise vorliegen, wird die Gruppe in den Rang eines benannten Decknamens erhoben.

Das Fragmentierungsproblem: Zu viele Namen für dieselbe Bedrohung

Das Wachstum der Bedrohungslandschaft hat den alten Ansatz überfordert. Googles Chefanalyst John Hultquist wies darauf hin, dass das Unternehmen inzwischen über 5.000 „Aktivitätscluster“ in mehreren Ländern verfolgt – eine Menge, die jede einfache Nummerntaxonomie unbrauchbar macht . Bei so vielen Entitäten wurden die aufeinanderfolgenden APT-Nummern genauso verwirrend wie hilfreich.

„Selbst Brancheninsider können oft nicht mehr Schritt halten“, sagte Huntley gegenüber TechCrunch . Jeder Sicherheitsanbieter hat seine eigene Taxonomie. Microsoft verwendet wetterbezogene Namen (Nobelium, Seashell Blizzard), CrowdStrike tierbezogene Namen (Cozy Bear, Fancy Bear) und Palo Alto Networks ein eigenes System (z. B. Muddled Libra) . Diese Fragmentierung verlangsamt die Reaktion auf Vorfälle, weil Teams Zeit damit verschwenden, Bezeichnungen abzugleichen, anstatt den Schaden zu begrenzen . Huntley erklärte, dass es nicht realistisch sei, verschiedene Unternehmen auf ein universelles System zu einigen, da jede Organisation andere Sichtweisen, Daten und operative Anforderungen habe .

Googles neues Namenssystem: Zufälliger Name + Herkunftswort

Das neue System von GTIG ersetzt die alten APT-Nummern (APT1, APT41 usw.) von Mandiant und vereinheitlicht die Ansätze, die sich zuvor innerhalb von Googles Threat Analysis Group und Mandiant unabhängig entwickelt hatten .

Das neue Format besteht aus zwei Teilen :

• Erstes Wort — ein einprägsamer, zufällig gewählter Name, der die jeweilige Gruppe eindeutig identifiziert. Wenn für eine Gruppe bereits ein bekannter Name aus der öffentlichen Berichterstattung existiert (z. B. Lazarus), behält GTIG diesen etablierten Namen bei .
• Zweites Wort — eine feste Kategoriebezeichnung, deren erster Buchstabe das vermutete Herkunftsland oder die Aktivitätsart signalisiert. Die vier bestätigten Länderkürzel sind :
  • Castle → China
  • Ion → Iran
  • Neptune → Nordkorea
  • Relic → Russland

Das System ist nicht auf diese vier Kategorien beschränkt; Google hat die Taxonomie so aufgebaut, dass bei Bedarf weitere Kategorienwörter hinzugefügt werden können . Huntley sagte, die Änderung solle es „Forschern innerhalb und außerhalb des Unternehmens erleichtern, verschiedene Bedrohungsgruppen klar zu identifizieren“ und es Verteidigern ermöglichen, auf einen Blick die Herkunft, Beweggründe und Aktivitätsart eines Angreifers zu verstehen .

Die tiefere Herausforderung: Staatsakteure, Kriminelle und Söldner verschwimmen

Die Namensreform hilft zwar, löst aber nicht das grundlegendste Problem der Bedrohungsanalyse: die klare Trennung von staatlich gesteuerten „Advanced Persistent Threats“ (APTs), Cyberkriminellen und kommerziellen Söldner-Hackern .

Diese Kategorien überschneiden sich in der Praxis erheblich. Staatsnahe Gruppen übernehmen manchmal kriminelle Ransomware-Taktiken, um Einnahmen zu erzielen oder ihre Herkunft zu verschleiern . Kriminelle Gruppen verkaufen Zugänge und Werkzeuge an staatlich unterstützte Akteure. Söldnerfirmen agieren in beiden Welten. Das Personal, die Werkzeuge und die Auswirkungen sind oft nicht zu unterscheiden .

Hultquist hat darauf hingewiesen, dass Googles über 5.000 verfolgte Cluster Staatsakteure, Cyberkriminelle und Söldner-Spyware-Anbieter umfassen – und die Grenzen verwischen ständig . KI-generiertes Phishing und automatisierte Aufklärungswerkzeuge machen die Unterscheidung noch schwieriger .

Googles neues Namenssystem hilft, indem es den Herkunftskontext direkt in die Gruppenbezeichnung einbettet. Es kann jedoch die zugrundeliegende Unklarheit nicht beseitigen: Eine Gruppe kann in einer Kampagne als staatlich unterstützte Spionageeinheit und in einer anderen als freiberuflicher Ransomware-Betreiber agieren. Gruppen benennen sich häufig um oder teilen sich Infrastruktur .

Fazit

Decknamen liefern einen kritischen, gemeinsamen Wortschatz, um Gegner in der Cybersicherheitsbranche zu verfolgen. Aber die inkonsistenten Benennungssysteme der Anbieter haben gefährliche Verwirrung gestiftet. Googles neues Zwei-Wort-Schema – ein zufälliger Vorname gepaart mit einem herkunftsanzeigenden zweiten Wort – geht diese Fragmentierung für die eigenen über 5.000 Cluster direkt an. Die Änderung macht es Verteidigern leichter, schnell zu verstehen, wem sie gegenüberstehen. Doch die tiefere Schwierigkeit, Staatsakteure von Kriminellen und Söldnern zu trennen, bleibt eine fortlaufende operative Herausforderung, die keine Namensreform vollständig lösen kann.