Google 'khai tử' mã số APT, ra mắt bộ quy tắc đặt tên hacker 'tên ngẫu nhiên + mã quốc gia'

Trước khi một nhóm hacker nhận được tên chính thức, nó thường bắt đầu như một cụm theo dõi tạm thời, được chỉ định bằng nhãn UNC (Uncategorized) và một mã số nhận dạng, chẳng hạn như UNC1878 . Chỉ sau khi có đủ bằng chứng tích lũy, nhóm đó mới được 'lên đời' và có một mật danh thực thụ.

Vấn đề phân mảnh: Quá nhiều tên cho cùng một mối đe dọa

Sự phát triển như vũ bão của bối cảnh đe dọa đã làm quá tải cách tiếp cận cũ. John Hultquist, Chuyên viên phân tích trưởng của Google, lưu ý rằng công ty hiện đang theo dõi hơn 5.000 'cụm hoạt động' trên khắp nhiều quốc gia—một khối lượng khiến bất kỳ hệ thống phân loại số nào cũng trở nên bất khả thi . Với số lượng lớn như vậy, các mã số APT tuần tự trở nên khó hiểu hơn là hữu ích.

"Ngay cả những người trong ngành đôi khi cũng không theo kịp," Huntley nói với TechCrunch . Mỗi hãng bảo mật đều có hệ thống phân loại riêng: Microsoft dùng tên theo thời tiết (Nobelium, Seashell Blizzard), CrowdStrike dùng tên động vật (Cozy Bear, Fancy Bear), còn Palo Alto Networks dùng hệ thống riêng (ví dụ: Muddled Libra) . Sự phân mảnh này làm chậm quá trình ứng phó sự cố vì các nhóm kỹ thuật tốn thời gian đối chiếu tên gọi thay vì ngăn chặn thiệt hại . Huntley giải thích rằng việc bắt các công ty khác nhau áp dụng một hệ thống chung là phi thực tế, bởi mỗi tổ chức có tầm nhìn, dữ liệu và nhu cầu tác chiến khác nhau .

Hệ thống đặt tên mới của Google: Tên ngẫu nhiên + Từ khóa quốc gia

Hệ thống đặt tên mới của GTIG thay thế chuỗi mã số APT cũ của Mandiant (APT1, APT41,...) và hợp nhất các cách đặt tên đã phát triển độc lập trong nội bộ Google giữa Threat Analysis Group và Mandiant .

Định dạng mới có hai phần :

• Từ đầu tiên — một cái tên ngẫu nhiên, dễ nhớ, dùng để nhận dạng duy nhất nhóm cụ thể. Nếu một nhóm đã có tên tuổi nổi tiếng từ các báo cáo công khai (ví dụ: Lazarus), GTIG sẽ giữ nguyên tên đó .
• Từ thứ hai — một chỉ báo danh mục cố định, có chữ cái đầu tiên báo hiệu quốc gia xuất xứ hoặc loại hoạt động được đánh giá. Bốn mã quốc gia đã được xác nhận bao gồm :
  • Castle → Trung Quốc
  • Ion → Iran
  • Neptune → Triều Tiên
  • Relic → Nga

Hệ thống này không giới hạn ở bốn danh mục này; Google đã xây dựng hệ thống phân loại để có thể bổ sung các từ khóa khác khi cần . Huntley cho biết sự thay đổi được thiết kế để giúp "các nhà nghiên cứu trong và ngoài công ty dễ dàng nhận diện rõ ràng các nhóm đe dọa khác nhau" và cho phép các nhà phòng thủ hiểu ngay lập tức về nguồn gốc, động cơ và loại hoạt động của kẻ tấn công .

Thách thức sâu hơn: Các tác nhân nhà nước, tội phạm mạng và nhóm 'hacker cho thuê' đan xen vào nhau

Trong khi việc đại tu cách đặt tên có ích, nó không giải quyết được khó khăn cốt lõi nhất trong tình báo đe dọa: việc phân tách rõ ràng các mối đe dọa bền vững do nhà nước bảo trợ (APT) khỏi các băng nhóm tội phạm mạng và các chiến dịch 'hacker cho thuê' thương mại .

Trong thực tế, các danh mục này chồng chéo lên nhau một cách đáng kể. Các nhóm liên quan đến nhà nước đôi khi áp dụng chiến thuật tống tiền của tội phạm để tạo doanh thu hoặc che giấu nguồn gốc . Các nhóm tội phạm bán quyền truy cập và công cụ cho các tác nhân do chính phủ hậu thuẫn. Các công ty 'hacker cho thuê' hoạt động ở cả hai thế giới. Nhân sự, công cụ và hiệu ứng thường không thể phân biệt được .

Hultquist đã chỉ ra rằng hơn 5.000 cụm được theo dõi của Google bao gồm các tác nhân nhà nước, tội phạm mạng và các nhà cung cấp phần mềm gián điệp đánh thuê—và ranh giới liên tục bị xóa nhòa . Lừa đảo trực tuyến do AI tạo ra và các công cụ trinh sát tự động càng làm cho các ranh giới trở nên mờ nhạt hơn, khiến việc phân biệt giữa một chiến dịch tình báo do nhà nước bảo trợ và một băng nhóm tội phạm vì động cơ tài chính trở nên khó khăn hơn .

Hệ thống đặt tên mới của Google giúp ích bằng cách 'mã hóa' bối cảnh quốc gia xuất xứ trực tiếp vào nhãn của mỗi nhóm, nhưng nó không thể giải quyết được sự mơ hồ tiềm ẩn: một nhóm có thể hoạt động như một đơn vị gián điệp do nhà nước hậu thuẫn trong chiến dịch này và như một nhóm vận hành ransomware tự do trong chiến dịch khác, và các nhóm thường xuyên thay đổi thương hiệu hoặc chia sẻ hạ tầng .

Kết luận

Mật danh cung cấp vốn từ vựng chung quan trọng để theo dõi kẻ thù trong toàn ngành an ninh mạng. Nhưng các hệ thống đặt tên không nhất quán giữa các hãng đã tạo ra sự nhầm lẫn nguy hiểm. Sơ đồ hai từ mới của Google—một tên ngẫu nhiên kết hợp với một từ chỉ quốc gia—trực tiếp giải quyết sự phân mảnh đó cho việc theo dõi hơn 5.000 cụm của chính hãng. Sự thay đổi này giúp các nhà phòng thủ dễ dàng hiểu nhanh họ đang đối đầu với ai. Tuy nhiên, khó khăn sâu xa hơn trong việc tách biệt các tác nhân nhà nước khỏi tội phạm và lính đánh thuê vẫn là một thách thức tác chiến đang diễn ra mà không một cuộc cải tổ cách đặt tên nào có thể giải quyết triệt để.