Google’s top hacker hunter explains why hacking groups get codenames
Por mais de uma década, a indústria de segurança cibernética vem atribuindo nomes a diferentes grupos de hackers. Alguns deles, como o Fancy Bear, ganharam grande repercussão no mainstream devido aos seus ataques proeminentes e nomes memoráveis. Outros são conhecidos apenas dentro do setor de cibersegurança.
Muitas vezes, nem mesmo os especialistas da indústria conseguem acompanhar. Em parte, isso acontece porque cada empresa nomeia os grupos de hackers de forma diferente. É por isso que existem recursos como este, que tentam ser um ponto centralizado onde profissionais de segurança cibernética, autoridades governamentais, formuladores de políticas, jornalistas e o público em geral podem entender quem é quem.
No mês passado, o Google tornou-se a empresa mais recente a reformular seu sistema de nomenclatura para grupos de hackers.
Já se foram os dias de APT1, APT41 ou APT qualquer número, que era o sistema adotado pela Mandiant, antes uma empresa de segurança independente que agora faz parte do Google. A Mandiant foi a primeira a adotar um esquema de nomenclatura.
A partir de agora, o sistema do Google é relativamente simples: um grupo de hackers terá um primeiro nome memorável e aleatório, e uma segunda palavra cuja inicial indica o país de origem: Castle para a China, Ion para o Irã, Neptune para a Coreia do Norte e Relic para a Rússia.
De acordo com Shane Huntley, diretor de tecnologia do Google Threat Intelligence Group, a equipe interna de caça a hackers da empresa, a reformulação era necessária para trazer clareza aos pesquisadores de segurança tanto dentro quanto fora da empresa.
No início da década de 2010, quando as empresas começaram a publicar relatórios sobre ataques cibernéticos e a nomear os hackers por trás deles, Huntley disse ao TechCrunch que “não esperávamos ter tantos grupos de ameaças quanto temos hoje.”
Tinha se tornado difícil acompanhar a todos. O Google agora rastreia mais de 5.000 “aglomerados de atividade” em vários países, de acordo com John Hultquist, analista-chefe do Google Threat Intelligence Group. Huntley afirmou que há pouquíssimas nações desenvolvidas que não possuem suas próprias capacidades cibernéticas e grupos de hackers.
Mas qual é o objetivo de nomear grupos de hackers? Não é apenas um exercício acadêmico, explicou Huntley. O objetivo é ter uma compreensão básica de quem está atacando quem e como estão atacando. Dessa forma, as organizações podem reconhecer ameaças mais rapidamente, se preparar contra elas, idealmente detê-las ou, pelo menos, investigar incidentes com mais rapidez.
Tudo isso, segundo ele, só é possível se você nomear os hackers e rastreá-los de forma consistente.
“Se você realmente for hackear por eles ou estiver lidando com algum incidente, saber como esse ator se comporta, o que ele faz, o que ele fez no passado, todos esses detalhes tornam-se criticamente importantes para ajudar na resposta e também para elaborar a sua cobertura contra essas ameaças,” disse Huntley.
Saber como os hackers do governo norte-coreano conhecidos como Lazarus Group se comportam, quais são os seus objetivos habituais e para quem trabalham, fornece aos defensores um ponto de partida para lidar com esses hackers.
Rastrear hackers patrocinados por estados, embora desafiador, é mais fácil do que rastrear grupos de cibercriminosos e mercenários cibernéticos, explicou Huntley. Os hackers governamentais tendem a ter alvos e atividades mais consistentes, enquanto os grupos cibercriminosos têm membros que entram e saem, às vezes se dividem e, de outra forma, são mais amorfos. Grupos de hackers de aluguel e criadores de spyware tendem a ter muitos clientes em diferentes partes do mundo, o que os torna um pouco mais difíceis de rastrear.
Uma crítica comum sempre que um novo sistema de nomenclatura é anunciado é: por que todas as empresas e organizações simplesmente não usam os mesmos codinomes? Embora pareça uma pergunta fácil de responder, a realidade é que cada empresa tem uma visão ligeiramente diferente de cada grupo, com base em seus próprios conjuntos de dados e telemetria. Huntley disse que esta é uma realidade inescapável que não pode ser evitada apenas compartilhando mais informações entre empresas e grupos de pesquisadores.
“Ninguém tem visibilidade perfeita,” afirmou ele. “Estamos construindo nosso modelo e nossa melhor compreensão, mas nunca saberemos tudo sobre o que está acontecendo.”
Ao unificar o esquema de nomenclatura do antigo Threat Analysis Group do Google, que Huntley liderava, e da Mandiant, pelo menos agora há um esquema a menos para lembrar. Para todo o resto, consulte esta lista gigantesca.
