Perché le aziende di cybersecurity danno nomi in codice ai gruppi di hacker

I nomi in codice servono perché i ricercatori hanno bisogno di un'etichetta condivisa e duratura per un insieme di attività malevole, molto prima che si possa provare l'identità legale dei singoli o fare un'attribuzione formale da parte delle forze dell'ordine . Come ha spiegato Shane Huntley, CTO del GTIG di Google, un nome in codice funge da "ancora persistente", permettendo ad analisti di diverse organizzazioni, continenti e settori di condividere all'istante informazioni sullo stesso avversario . Un gruppo con un nome proprio diventa un'entità tracciabile, studiabile nel corso degli anni, a partire da una raccolta di IP, firme malware e tattiche .

Prima di ricevere un nome permanente, un gruppo di hacker inizia come un "cluster di monitoraggio temporaneo", etichettato con un codice UNC (Uncategorized) e un identificatore numerico, come UNC1878 . Solo dopo aver accumulato prove sufficienti, il cluster viene promosso a nome in codice.

Il problema della frammentazione: troppi nomi per la stessa minaccia

La crescita del panorama delle minacce ha travolto il vecchio approccio. John Hultquist, analista capo di Google, ha sottolineato che l'azienda ora traccia oltre 5.000 "cluster di attività" in più paesi, un volume che rende inutilizzabile qualsiasi tassonomia numerica . Con così tante entità, i numeri sequenziali APT sono diventati fonte di confusione.

"Spesso, anche gli addetti ai lavori non riescono a tenere il passo", ha detto Huntley a TechCrunch . Ogni vendor ha la sua tassonomia. Microsoft usa nomi legati al meteo (Nobelium, Seashell Blizzard), CrowdStrike usa nomi di animali (Cozy Bear, Fancy Bear) e Palo Alto Networks ha il suo sistema (es. Muddled Libra) . Questa frammentazione rallenta l'incident response, perché i team perdono tempo a riconciliare le etichette invece di contenere il danno . Huntley ha spiegato che non è realistico imporre un unico sistema universale, perché ogni organizzazione ha visibilità, dati ed esigenze operative diverse .

Il nuovo sistema di Google: nome casuale + parola nazione

Il nuovo sistema del GTIG sostituisce la sequenza numerica APT di Mandiant (APT1, APT41, ecc.) e unifica gli approcci di nomenclatura che si erano sviluppati indipendentemente all'interno del Threat Analysis Group di Google e Mandiant .

Il nuovo formato ha due parti :

• Prima parola — un nome memorabile e scelto a caso che identifica in modo univoco il gruppo specifico. Se il gruppo ha già un nome noto da report pubblici (es. Lazarus), GTIG mantiene quello .
• Seconda parola — un indicatore di categoria fisso la cui prima lettera segnala il paese di origine o il tipo di attività. Le quattro categorie confermate sono :
  • Castle → Cina
  • Ion → Iran
  • Neptune → Corea del Nord
  • Relic → Russia

Il sistema non si limita a queste quattro categorie; Google ha costruito la tassonomia per accogliere ulteriori parole chiave in futuro . Huntley ha dichiarato che il cambiamento è stato progettato per rendere "più facile per i ricercatori, dentro e fuori l'azienda, identificare chiaramente i diversi gruppi di minaccia" e per permettere ai difensori di capire al volo l'origine, le motivazioni e il tipo di attività di un attaccante .

La sfida più profonda: stati, criminali e hacker a noleggio si confondono

Sebbene il rinnovamento della nomenclatura sia d'aiuto, non risolve la difficoltà più grande nel threat intelligence: separare chiaramente le minacce persistenti avanzate sponsorizzate dagli stati dalle bande di cybercriminali e dalle operazioni di hacker a noleggio .

Queste categorie si sovrappongono pesantemente nella pratica. I gruppi legati a uno stato a volte adottano tattiche ransomware criminali per generare entrate o nascondere la propria origine . I gruppi criminali vendono accesso e strumenti ad attori governativi. Le aziende di hacker a noleggio operano in entrambi i mondi. Il personale, gli strumenti e gli effetti sono spesso indistinguibili .

Hultquist ha sottolineato che gli oltre 5.000 cluster tracciati da Google includono attori statali, cybercriminali e venditori di spyware mercenari, e i confini si confondono costantemente . Il phishing generato dall'IA e gli strumenti di ricognizione automatizzata offuscano ulteriormente le linee, rendendo più difficile distinguere tra un'operazione di intelligence sponsorizzata da uno stato e un giro criminale a scopo di lucro .

Il nuovo sistema di Google aiuta inserendo il contesto del paese di origine direttamente nell'etichetta del gruppo, ma non può risolvere l'ambiguità di fondo: un gruppo può operare come unità di spionaggio sostenuta da uno stato in una campagna e come operatore ransomware freelance in un'altra, e i gruppi si rinominano o condividono infrastrutture frequentemente .

In sintesi

I nomi in codice forniscono un vocabolario condiviso fondamentale per tracciare gli avversari nel settore della cybersecurity. Ma i sistemi di nomenclatura incoerenti tra i vari vendor hanno creato una pericolosa confusione. Il nuovo schema in due parole di Google, un nome casuale abbinato a un termine che indica il paese, affronta direttamente questa frammentazione per i suoi oltre 5.000 cluster tracciati. Il cambiamento rende più facile per i difensori capire rapidamente chi hanno di fronte. Tuttavia, la difficoltà più profonda di separare gli attori statali da criminali e mercenari rimane una sfida operativa che nessuna riforma dei nomi può risolvere del tutto.

Perché le aziende di cybersecurity danno nomi in codice ai gruppi di hacker

I nomi in codice servono perché i ricercatori hanno bisogno di un'etichetta condivisa e duratura per un insieme di attività malevole, molto prima che si possa provare l'identità legale dei singoli o fare un'attribuzione formale da parte delle forze dell'ordine . Come ha spiegato Shane Huntley, CTO del GTIG di Google, un nome in codice funge da "ancora persistente", permettendo ad analisti di diverse organizzazioni, continenti e settori di condividere all'istante informazioni sullo stesso avversario . Un gruppo con un nome proprio diventa un'entità tracciabile, studiabile nel corso degli anni, a partire da una raccolta di IP, firme malware e tattiche .

Prima di ricevere un nome permanente, un gruppo di hacker inizia come un "cluster di monitoraggio temporaneo", etichettato con un codice UNC (Uncategorized) e un identificatore numerico, come UNC1878 . Solo dopo aver accumulato prove sufficienti, il cluster viene promosso a nome in codice.

Il problema della frammentazione: troppi nomi per la stessa minaccia

La crescita del panorama delle minacce ha travolto il vecchio approccio. John Hultquist, analista capo di Google, ha sottolineato che l'azienda ora traccia oltre 5.000 "cluster di attività" in più paesi, un volume che rende inutilizzabile qualsiasi tassonomia numerica . Con così tante entità, i numeri sequenziali APT sono diventati fonte di confusione.

"Spesso, anche gli addetti ai lavori non riescono a tenere il passo", ha detto Huntley a TechCrunch . Ogni vendor ha la sua tassonomia. Microsoft usa nomi legati al meteo (Nobelium, Seashell Blizzard), CrowdStrike usa nomi di animali (Cozy Bear, Fancy Bear) e Palo Alto Networks ha il suo sistema (es. Muddled Libra) . Questa frammentazione rallenta l'incident response, perché i team perdono tempo a riconciliare le etichette invece di contenere il danno . Huntley ha spiegato che non è realistico imporre un unico sistema universale, perché ogni organizzazione ha visibilità, dati ed esigenze operative diverse .

Il nuovo sistema di Google: nome casuale + parola nazione

Il nuovo sistema del GTIG sostituisce la sequenza numerica APT di Mandiant (APT1, APT41, ecc.) e unifica gli approcci di nomenclatura che si erano sviluppati indipendentemente all'interno del Threat Analysis Group di Google e Mandiant .

Il nuovo formato ha due parti :

• Prima parola — un nome memorabile e scelto a caso che identifica in modo univoco il gruppo specifico. Se il gruppo ha già un nome noto da report pubblici (es. Lazarus), GTIG mantiene quello .
• Seconda parola — un indicatore di categoria fisso la cui prima lettera segnala il paese di origine o il tipo di attività. Le quattro categorie confermate sono :
  • Castle → Cina
  • Ion → Iran
  • Neptune → Corea del Nord
  • Relic → Russia

Il sistema non si limita a queste quattro categorie; Google ha costruito la tassonomia per accogliere ulteriori parole chiave in futuro . Huntley ha dichiarato che il cambiamento è stato progettato per rendere "più facile per i ricercatori, dentro e fuori l'azienda, identificare chiaramente i diversi gruppi di minaccia" e per permettere ai difensori di capire al volo l'origine, le motivazioni e il tipo di attività di un attaccante .

La sfida più profonda: stati, criminali e hacker a noleggio si confondono

Sebbene il rinnovamento della nomenclatura sia d'aiuto, non risolve la difficoltà più grande nel threat intelligence: separare chiaramente le minacce persistenti avanzate sponsorizzate dagli stati dalle bande di cybercriminali e dalle operazioni di hacker a noleggio .

Queste categorie si sovrappongono pesantemente nella pratica. I gruppi legati a uno stato a volte adottano tattiche ransomware criminali per generare entrate o nascondere la propria origine . I gruppi criminali vendono accesso e strumenti ad attori governativi. Le aziende di hacker a noleggio operano in entrambi i mondi. Il personale, gli strumenti e gli effetti sono spesso indistinguibili .

Hultquist ha sottolineato che gli oltre 5.000 cluster tracciati da Google includono attori statali, cybercriminali e venditori di spyware mercenari, e i confini si confondono costantemente . Il phishing generato dall'IA e gli strumenti di ricognizione automatizzata offuscano ulteriormente le linee, rendendo più difficile distinguere tra un'operazione di intelligence sponsorizzata da uno stato e un giro criminale a scopo di lucro .

Il nuovo sistema di Google aiuta inserendo il contesto del paese di origine direttamente nell'etichetta del gruppo, ma non può risolvere l'ambiguità di fondo: un gruppo può operare come unità di spionaggio sostenuta da uno stato in una campagna e come operatore ransomware freelance in un'altra, e i gruppi si rinominano o condividono infrastrutture frequentemente .

In sintesi

I nomi in codice forniscono un vocabolario condiviso fondamentale per tracciare gli avversari nel settore della cybersecurity. Ma i sistemi di nomenclatura incoerenti tra i vari vendor hanno creato una pericolosa confusione. Il nuovo schema in due parole di Google, un nome casuale abbinato a un termine che indica il paese, affronta direttamente questa frammentazione per i suoi oltre 5.000 cluster tracciati. Il cambiamento rende più facile per i difensori capire rapidamente chi hanno di fronte. Tuttavia, la difficoltà più profonda di separare gli attori statali da criminali e mercenari rimane una sfida operativa che nessuna riforma dei nomi può risolvere del tutto.