Por que empresas de segurança dão codinomes a grupos de hackers

Codinomes existem porque os pesquisadores de cibersegurança precisam de um rótulo compartilhado e persistente para um conjunto de atividades maliciosas muito antes de ser possível provar identidades legais individuais ou fazer uma atribuição formal para aplicação da lei . Como Shane Huntley, CTO do GTIG, explicou em entrevistas, um codinome atua como uma "âncora persistente" — permitindo que analistas de diferentes organizações, continentes e setores compartilhem instantaneamente inteligência sobre o mesmo adversário . Um grupo devidamente nomeado transforma uma coleção difusa de IPs, assinaturas de malware e táticas observadas em uma entidade rastreável que pode ser estudada ao longo de anos .

Antes de receber um nome permanente, um grupo de hackers geralmente começa como um cluster de rastreamento temporário, designado com um rótulo UNC (Uncategorized, ou Não Categorizado) e um identificador numérico, como UNC1878 . Somente depois que evidências suficientes se acumulam é que o grupo é promovido a um codinome oficial.

O problema da fragmentação: muitos nomes para a mesma ameaça

O crescimento do cenário de ameaças sobrecarregou a abordagem antiga. O analista-chefe do Google, John Hultquist, observou que a empresa agora rastreia mais de 5.000 "clusters de atividade" em vários países — um volume que torna qualquer taxonomia numérica inviável . Com tantas entidades, os números sequenciais APT se tornaram tão confusos quanto úteis.

"Muitas vezes, mesmo os profissionais do setor não conseguem acompanhar", disse Huntley ao TechCrunch . Cada fornecedor de segurança tem sua própria taxonomia. A Microsoft usa nomes com temas meteorológicos (Nobelium, Seashell Blizzard), a CrowdStrike usa nomes de animais (Cozy Bear, Fancy Bear) e a Palo Alto Networks usa seu próprio sistema (como Muddled Libra) . Essa fragmentação retarda a resposta a incidentes, pois as equipes perdem tempo reconciliando rótulos em vez de conter os danos . Huntley explicou que fazer com que diferentes empresas adotem um sistema universal único não é realista, porque cada organização tem visibilidade, dados e necessidades operacionais diferentes .

O novo sistema do Google: nome aleatório + palavra de país

O novo sistema de nomenclatura do GTIG substitui a sequência numérica APT legada da Mandiant (APT1, APT41, etc.) e unifica as abordagens de nomenclatura que se desenvolveram de forma independente dentro do Threat Analysis Group do Google e da Mandiant .

O novo formato tem duas partes :

• Primeira palavra — um nome memorável e escolhido aleatoriamente que identifica exclusivamente o grupo específico. Se um grupo já tem um nome conhecido de reportagens públicas (como Lazarus), o GTIG mantém esse nome estabelecido .
• Segunda palavra — um indicador de categoria fixo cuja primeira letra sinaliza o país de origem avaliado ou o tipo de atividade. As quatro palavras-código confirmadas são :
  • Castle → China
  • Ion → Irã
  • Neptune → Coreia do Norte
  • Relic → Rússia

O sistema não se limita a essas quatro categorias; o Google construiu a taxonomia para acomodar palavras de categoria adicionais conforme necessário . Huntley disse que a mudança foi projetada para tornar "mais fácil para pesquisadores dentro e fora da empresa identificar claramente diferentes grupos de ameaças" e permitir que os defensores entendam a origem, os motivos e o tipo de atividade de um atacante rapidamente .

O desafio mais profundo: atores estatais, criminosos e hackers de aluguel se confundem

Embora a reforma da nomenclatura ajude, ela não resolve a dificuldade mais fundamental na inteligência de ameaças: separar claramente as ameaças persistentes avançadas patrocinadas por Estados, as gangues de cibercriminosos e as operações comerciais de hackers de aluguel .

Essas categorias se sobrepõem significativamente na prática. Grupos alinhados a Estados às vezes adotam táticas criminosas de ransomware para gerar receita ou disfarçar suas origens . Grupos criminosos vendem acesso e ferramentas para atores apoiados por governos. Empresas de hackers de aluguel operam em ambos os mundos. O pessoal, as ferramentas e os efeitos são frequentemente indistinguíveis .

Hultquist destacou que os mais de 5.000 clusters rastreados pelo Google incluem atores estatais, cibercriminosos e fornecedores de spyware mercenário — e os limites se confundem constantemente . Phishing gerado por IA e ferramentas automatizadas de reconhecimento turvam ainda mais as linhas, dificultando a distinção entre uma operação de inteligência patrocinada por um Estado e um esquema criminoso motivado financeiramente .

O novo sistema de nomenclatura do Google ajuda ao incorporar o contexto do país de origem diretamente no rótulo de cada grupo, mas não pode resolver a ambiguidade subjacente: um grupo pode operar como uma unidade de espionagem apoiada por um Estado em uma campanha e como um operador de ransomware freelance em outra, e os grupos frequentemente mudam de marca ou compartilham infraestrutura .

Resumo

Codinomes fornecem um vocabulário compartilhado crítico para rastrear adversários em todo o setor de cibersegurança. Mas os sistemas de nomenclatura inconsistentes entre fornecedores criaram uma confusão perigosa. O novo esquema de duas palavras do Google — um nome aleatório combinado com uma palavra indicadora de país — enfrenta diretamente essa fragmentação para seu próprio rastreamento de mais de 5.000 clusters. A mudança facilita para os defensores entenderem rapidamente contra quem estão lutando. No entanto, a dificuldade mais profunda de separar atores estatais de criminosos e mercenários continua sendo um desafio operacional contínuo que nenhuma reforma de nomenclatura pode resolver completamente.

Por que empresas de segurança dão codinomes a grupos de hackers

Codinomes existem porque os pesquisadores de cibersegurança precisam de um rótulo compartilhado e persistente para um conjunto de atividades maliciosas muito antes de ser possível provar identidades legais individuais ou fazer uma atribuição formal para aplicação da lei . Como Shane Huntley, CTO do GTIG, explicou em entrevistas, um codinome atua como uma "âncora persistente" — permitindo que analistas de diferentes organizações, continentes e setores compartilhem instantaneamente inteligência sobre o mesmo adversário . Um grupo devidamente nomeado transforma uma coleção difusa de IPs, assinaturas de malware e táticas observadas em uma entidade rastreável que pode ser estudada ao longo de anos .

Antes de receber um nome permanente, um grupo de hackers geralmente começa como um cluster de rastreamento temporário, designado com um rótulo UNC (Uncategorized, ou Não Categorizado) e um identificador numérico, como UNC1878 . Somente depois que evidências suficientes se acumulam é que o grupo é promovido a um codinome oficial.

O problema da fragmentação: muitos nomes para a mesma ameaça

O crescimento do cenário de ameaças sobrecarregou a abordagem antiga. O analista-chefe do Google, John Hultquist, observou que a empresa agora rastreia mais de 5.000 "clusters de atividade" em vários países — um volume que torna qualquer taxonomia numérica inviável . Com tantas entidades, os números sequenciais APT se tornaram tão confusos quanto úteis.

"Muitas vezes, mesmo os profissionais do setor não conseguem acompanhar", disse Huntley ao TechCrunch . Cada fornecedor de segurança tem sua própria taxonomia. A Microsoft usa nomes com temas meteorológicos (Nobelium, Seashell Blizzard), a CrowdStrike usa nomes de animais (Cozy Bear, Fancy Bear) e a Palo Alto Networks usa seu próprio sistema (como Muddled Libra) . Essa fragmentação retarda a resposta a incidentes, pois as equipes perdem tempo reconciliando rótulos em vez de conter os danos . Huntley explicou que fazer com que diferentes empresas adotem um sistema universal único não é realista, porque cada organização tem visibilidade, dados e necessidades operacionais diferentes .

O novo sistema do Google: nome aleatório + palavra de país

O novo sistema de nomenclatura do GTIG substitui a sequência numérica APT legada da Mandiant (APT1, APT41, etc.) e unifica as abordagens de nomenclatura que se desenvolveram de forma independente dentro do Threat Analysis Group do Google e da Mandiant .

O novo formato tem duas partes :

• Primeira palavra — um nome memorável e escolhido aleatoriamente que identifica exclusivamente o grupo específico. Se um grupo já tem um nome conhecido de reportagens públicas (como Lazarus), o GTIG mantém esse nome estabelecido .
• Segunda palavra — um indicador de categoria fixo cuja primeira letra sinaliza o país de origem avaliado ou o tipo de atividade. As quatro palavras-código confirmadas são :
  • Castle → China
  • Ion → Irã
  • Neptune → Coreia do Norte
  • Relic → Rússia

O sistema não se limita a essas quatro categorias; o Google construiu a taxonomia para acomodar palavras de categoria adicionais conforme necessário . Huntley disse que a mudança foi projetada para tornar "mais fácil para pesquisadores dentro e fora da empresa identificar claramente diferentes grupos de ameaças" e permitir que os defensores entendam a origem, os motivos e o tipo de atividade de um atacante rapidamente .

O desafio mais profundo: atores estatais, criminosos e hackers de aluguel se confundem

Embora a reforma da nomenclatura ajude, ela não resolve a dificuldade mais fundamental na inteligência de ameaças: separar claramente as ameaças persistentes avançadas patrocinadas por Estados, as gangues de cibercriminosos e as operações comerciais de hackers de aluguel .

Essas categorias se sobrepõem significativamente na prática. Grupos alinhados a Estados às vezes adotam táticas criminosas de ransomware para gerar receita ou disfarçar suas origens . Grupos criminosos vendem acesso e ferramentas para atores apoiados por governos. Empresas de hackers de aluguel operam em ambos os mundos. O pessoal, as ferramentas e os efeitos são frequentemente indistinguíveis .

Hultquist destacou que os mais de 5.000 clusters rastreados pelo Google incluem atores estatais, cibercriminosos e fornecedores de spyware mercenário — e os limites se confundem constantemente . Phishing gerado por IA e ferramentas automatizadas de reconhecimento turvam ainda mais as linhas, dificultando a distinção entre uma operação de inteligência patrocinada por um Estado e um esquema criminoso motivado financeiramente .

O novo sistema de nomenclatura do Google ajuda ao incorporar o contexto do país de origem diretamente no rótulo de cada grupo, mas não pode resolver a ambiguidade subjacente: um grupo pode operar como uma unidade de espionagem apoiada por um Estado em uma campanha e como um operador de ransomware freelance em outra, e os grupos frequentemente mudam de marca ou compartilham infraestrutura .

Resumo

Codinomes fornecem um vocabulário compartilhado crítico para rastrear adversários em todo o setor de cibersegurança. Mas os sistemas de nomenclatura inconsistentes entre fornecedores criaram uma confusão perigosa. O novo esquema de duas palavras do Google — um nome aleatório combinado com uma palavra indicadora de país — enfrenta diretamente essa fragmentação para seu próprio rastreamento de mais de 5.000 clusters. A mudança facilita para os defensores entenderem rapidamente contra quem estão lutando. No entanto, a dificuldade mais profunda de separar atores estatais de criminosos e mercenários continua sendo um desafio operacional contínuo que nenhuma reforma de nomenclatura pode resolver completamente.