Googles nye hackernavn: Derfor ble APT1 til «Tilfeldig navn + landskode»

Før en hackergruppe får et permanent navn, starter den vanligvis som en midlertidig sporingsklynge, merket med en UNC (Uncategorized)-etikett og en numerisk identifikator, for eksempel UNC1878 . Først når nok bevis er samlet inn, får gruppen et egentlig kodenavn.

Fragmenteringsproblemet: For mange navn på samme trussel

Veksten i trussellandskapet har overveldet den gamle tilnærmingen. Googles sjefsanalytiker John Hultquist bemerket at selskapet nå sporer over 5 000 «aktivitetsklynger» på tvers av flere land – et volum som gjør enhver enkel numerisk taksonomi uhåndterlig . Med så mange enheter ble sekvensielle APT-numre like forvirrende som de var nyttige.

«Ofte klarer ikke engang bransjeinnsidere å holde oversikt,» sa Huntley til TechCrunch . Hver sikkerhetsleverandør har sin egen taksonomi. Microsoft bruker vær-tema-navn (Nobelium, Seashell Blizzard), CrowdStrike bruker dyretema-navn (Cozy Bear, Fancy Bear), og Palo Alto Networks bruker sitt eget system (f.eks. Muddled Libra) . Denne fragmenteringen bremser hendelsesrespons fordi team kaster bort tid på å avstemme etiketter i stedet for å begrense skaden . Huntley forklarte at å få ulike selskaper til å ta i bruk ett universelt system ikke er realistisk, fordi hver organisasjon har ulik synlighet, ulike data og ulike operasjonelle behov .

Googles nye navnesystem: Tilfeldig navn + landkodeord

GTIGs nye navnesystem erstatter Mandiants gamle APT-nummerrekke (APT1, APT41 osv.) og forener navngivningsmetodene som hadde utviklet seg uavhengig innad i Googles Threat Analysis Group og Mandiant .

Det nye formatet har to deler :

• Første ord – et minneverdig, tilfeldig valgt navn som unikt identifiserer den spesifikke gruppen. Hvis en gruppe allerede har et velkjent navn fra offentlig rapportering (f.eks. Lazarus), beholder GTIG det etablerte navnet .
• Andre ord – en fast kategoriindikator der første bokstav signaliserer det vurderte opprinnelseslandet eller aktivitetstypen. De fire bekreftede landkodene er :
  • Castle → Kina
  • Ion → Iran
  • Neptune → Nord-Korea
  • Relic → Russland

Systemet er ikke begrenset til disse fire kategoriene; Google har bygget taksonomien slik at den kan romme ytterligere kategoriord etter behov . Huntley sa at endringen var designet for å gjøre det «enklere for forskere både internt og eksternt å tydelig identifisere ulike trusselgrupper» og la forsvarere forstå en angripers opprinnelse, motiver og aktivitetstype ved første øyekast .

Den dypere utfordringen: Statsaktører, kriminelle og leide hackere glir over i hverandre

Selv om navneomleggingen hjelper, løser den ikke den mest grunnleggende vanskeligheten i trusselintelligens: å tydelig skille statsstøttede avanserte vedvarende trusler fra cyberkriminelle gjenger og kommersielle leide hackeroperasjoner .

Disse kategoriene overlapper betydelig i praksis. Statsallierte grupper tar noen ganger i bruk kriminelle løsepengevirus-taktikker for å generere inntekter eller skjule opprinnelsen sin . Kriminelle grupper selger tilgang og verktøy til statsstøttede aktører. Leide hackerselskaper opererer i begge verdener. Personellet, verktøyene og effektene er ofte umulige å skille .

Hultquist har påpekt at Googles 5 000+ spores klynger inkluderer statsaktører, cyberkriminelle og leiesoldat-spywareleverandører – og grensene flyter konstant . AI-generert phishing og automatiserte rekognoseringsverktøy gjør linjene enda mer uklare, noe som gjør det vanskeligere å skille mellom en statsstøttet etterretningsoperasjon og en økonomisk motivert kriminalitetsring .

Googles nye navnesystem hjelper ved å bygge opprinnelseslandkonteksten direkte inn i hver gruppes etikett, men det kan ikke løse den underliggende tvetydigheten: en gruppe kan operere som en statsstøttet spionasjeenhet i én kampanje og som en frittstående løsepengevirusoperatør i en annen, og grupper rebrander eller deler infrastruktur ofte .

Oppsummert

Kodenavn gir kritisk felles vokabular for å spore motstandere på tvers av cybersikkerhetsbransjen. Men inkonsekvente leverandørnavnesystemer skapte farlig forvirring. Googles nye toords-opplegg – et tilfeldig fornavn sammen med et landindikerende andreord – tar direkte tak i denne fragmenteringen for selskapets egen sporing av 5 000+ klynger. Endringen gjør det enklere for forsvarere å raskt forstå hvem de står overfor. Likevel forblir den dypere vanskeligheten med å skille statsaktører fra kriminelle og leiesoldater en pågående operasjonell utfordring som ingen navnereform fullt ut kan løse.