Зашто хакери добијају бизарна имена? Гугл мијења систем и уводи нову тактику

Компаније за сајбер-безбједност већ више од деценије додјељују имена хакерским групама. Нека од њих, попут назива Fancy Bear и Lazarus, постала су позната и широј јавности, док су друга позната углавном стручњацима.

Проблем је у томе што готово свака компанија користи сопствени систем именовања. Због тога иста хакерска група може имати неколико различитих назива, што додатно отежава праћење напада и утврђивање ко стоји иза њих.

Због тога је Google одлучио да промијени свој приступ.

Нови систем је једноставнији

Стари називи попут APT1 или APT41, које је користила Google-ова подружница Mandiant, одлазе у историју.

Нови систем је знатно једноставнији. Хакерске групе добијају насумична, лако памтљива имена, док друга ријеч у називу својим почетним словом указује на земљу за коју се сматра да стоји иза активности.

• Castle означава Кину
• Ion означава Иран
• Neptune означава Сјеверну Кореју
• Relic означава Русију

На овај начин аналитичарима би требало да буде лакше да запамте и повежу различите групе са њиховим активностима.

Зашто је стари систем постао проблем?

Шејн Хантли, шеф тима у Google Threat Intelligence, објаснио је да је промјена била неопходна јер је стари систем временом постао превише компликован.

Када су компаније почетком 2010-их почеле систематски да прате хакерске групе, није се очекивало да ће број различитих актера толико порасти.

Google данас прати више од 5.000 „кластера активности“, а Хантли истиче да готово да нема развијене државе која данас нема сопствене капацитете за дјеловање у сајбер-простору.

Због тога је било све теже одржавати систем у којем свака компанија користи различите ознаке.

Зашто су имена хакерских група уопште важна?

Додјељивање имена није само ствар маркетинга или лакшег памћења.

Циљ је да стручњаци могу да прате понашање одређене групе током времена: кога напада, које методе користи, какву инфраструктуру користи и које су њене раније активности.

Када безбједносни тим препозна образац понашања познате групе, може брже да реагује и предузме мјере заштите.

Један од најпознатијих примјера је сјевернокорејска група Lazarus, која се годинама повезује са бројним сајбер-нападима и крађама.

Државне групе је лакше пратити

Хантли наводи да је праћење хакерских група које дјелују у интересу држава у одређеној мјери лакше него праћење класичних сајбер-криминалаца.

Разлог је то што државни актери обично имају дугорочне циљеве и стабилнију структуру.

Криминалне групе се, с друге стране, често спајају, раздвајају, мијењају чланове и сарађују са различитим појединцима или групама.

Због тога је понекад веома тешко утврдити да ли се ради о истој групи која је само промијенила име или о потпуно новом актеру.

Зашто сви не користе један исти систем?

На први поглед дјелује логично да се све компаније договоре о једном универзалном систему именовања.

Међутим, то није тако једноставно.

Свака компанија има приступ само дијелу информација о сајбер-нападима. Једна фирма може уочити одређену групу и додијелити јој име, док друга компанија касније открије активности истог актера, али их протумачи као посебну групу.

Како је објаснио Хантли, нико нема савршену слику свега што се дешава у сајбер-простору.

Због тога различите компаније могу имати различите процјене и називе за исте актере.

Мање имена за памћење

Промјеном система Google покушава да поједностави начин на који се хакерске групе идентификују и прате.

Умјесто великог броја техничких ознака попут APT1 или APT41, аналитичари ће се све више сусретати са кратким и лакше памтљивим именима.

То можда звучи бизарно, али иза необичних назива стоји практичан циљ: лакше препознавање хакерских група, њихових метода и потенцијалних пријетњи.

Спајањем система Mandianta и Google-а, стручњаци су бар добили једну листу мање за памћење.

Пратите нас на нашој Фејсбук и Инстаграм страници и X налогу.