Google abandonne les numéros APT : ses hackers ont désormais un prénom aléatoire et un code pays

Avant de recevoir un nom permanent, un groupe de pirates commence généralement comme un cluster de suivi temporaire, désigné par un label UNC (Uncategorized) et un identifiant numérique, comme UNC1878 . Ce n’est qu’après avoir accumulé suffisamment de preuves que le groupe est promu au rang de nom de code.

Le problème de la fragmentation : trop de noms pour la même menace

La croissance du paysage des menaces a submergé l’ancienne approche. John Hultquist, analyste en chef de Google, a noté que l’entreprise suit désormais plus de 5 000 « clusters d’activité » dans plusieurs pays – un volume qui rend toute taxonomie numérique unique ingérable . Avec autant d’entités, les numéros APT séquentiels sont devenus aussi confus qu’utiles.

« Souvent, même les initiés du secteur ne s’y retrouvent plus », a déclaré Huntley à TechCrunch . Chaque éditeur de sécurité a sa propre taxonomie. Microsoft utilise des noms liés à la météo (Nobelium, Seashell Blizzard), CrowdStrike des noms d’animaux (Cozy Bear, Fancy Bear), et Palo Alto Networks son propre système (par exemple, Muddled Libra) . Cette fragmentation ralentit la réponse aux incidents car les équipes perdent du temps à faire correspondre les étiquettes au lieu de contenir les dégâts . Huntley a expliqué qu’il n’est pas réaliste d’amener différentes entreprises à adopter un système universel, car chaque organisation a une visibilité, des données et des besoins opérationnels différents .

Le nouveau système de nommage de Google : nom aléatoire + mot pays

Le nouveau système du GTIG remplace la séquence numérique APT héritée de Mandiant (APT1, APT41, etc.) et unifie les approches de nommage qui s’étaient développées indépendamment au sein du Threat Analysis Group et de Mandiant .

Le nouveau format comporte deux parties :

• Premier mot – un nom mémorable choisi aléatoirement qui identifie de manière unique le groupe spécifique. Si un groupe a déjà un nom bien connu issu de rapports publics (par exemple, Lazarus), le GTIG conserve ce nom établi .
• Deuxième mot – un indicateur de catégorie fixe dont la première lettre signale le pays d’origine ou le type d’activité évalué. Les quatre codes pays confirmés sont :
  • Castle → Chine
  • Ion → Iran
  • Neptune → Corée du Nord
  • Relic → Russie

Le système n’est pas limité à ces quatre catégories ; Google a conçu la taxonomie pour pouvoir ajouter d’autres mots de catégorie si nécessaire . Huntley a déclaré que ce changement visait à « permettre aux chercheurs, à l’intérieur comme à l’extérieur de l’entreprise, d’identifier clairement les différents groupes de menaces » et de permettre aux défenseurs de comprendre d’un coup d’œil l’origine, les motivations et le type d’activité d’un attaquant .

Le défi plus profond : États, criminels et pirates à louer se confondent

Si la refonte du nommage est utile, elle ne résout pas la difficulté la plus fondamentale du renseignement sur les menaces : séparer clairement les menaces persistantes avancées parrainées par des États des gangs cybercriminels et des opérations commerciales de pirates à louer .

Ces catégories se chevauchent considérablement dans la pratique. Les groupes alignés sur un État adoptent parfois des tactiques de ransomware criminelles pour générer des revenus ou dissimuler leur origine . Les groupes criminels vendent l’accès et les outils à des acteurs soutenus par des gouvernements. Les entreprises de pirates à louer opèrent dans les deux mondes. Le personnel, les outils et les effets sont souvent impossibles à distinguer .

Hultquist a souligné que les plus de 5 000 clusters suivis par Google comprennent des acteurs étatiques, des cybercriminels et des vendeurs de logiciels espions mercenaires – et que les frontières se brouillent constamment . L’hameçonnage généré par l’IA et les outils de reconnaissance automatisés brouillent encore plus les lignes, rendant plus difficile la distinction entre une opération de renseignement parrainée par un État et un réseau criminel motivé par l’argent .

Le nouveau système de nommage de Google aide en intégrant le contexte du pays d’origine directement dans l’étiquette de chaque groupe, mais il ne peut pas résoudre l’ambiguïté sous-jacente : un groupe peut opérer comme une unité d’espionnage soutenue par un État dans une campagne et comme un opérateur de ransomware freelance dans une autre, et les groupes changent fréquemment de nom ou partagent des infrastructures .

En résumé

Les noms de code fournissent un vocabulaire commun essentiel pour suivre les adversaires dans l’ensemble du secteur de la cybersécurité. Mais les systèmes de nommage incohérents des différents éditeurs ont créé une confusion dangereuse. Le nouveau schéma à deux mots de Google – un prénom aléatoire associé à un mot indiquant le pays – s’attaque directement à cette fragmentation pour son propre suivi de plus de 5 000 clusters. Ce changement permet aux défenseurs de comprendre plus rapidement à qui ils ont affaire. Cependant, la difficulté plus profonde de séparer les acteurs étatiques des criminels et des mercenaires reste un défi opérationnel permanent qu’aucune réforme du nommage ne peut résoudre complètement.