Há mais de uma década, a indústria de segurança cibernética atribui nomes a diferentes grupos de hackers. Alguns deles, como o famoso Fancy Bear, ultrapassaram as fronteiras do meio especializado e se tornaram conhecidos pelo grande público, graças a ataques marcantes e nomes fáceis de lembrar. Outros permanecem restritos ao universo da cibersegurança. Frequentemente, até mesmo profissionais da área têm dificuldade em acompanhar todos os grupos existentes. Isso ocorre porque cada empresa adota uma forma diferente de batizar esses coletivos. Por isso, surgiram recursos que buscam funcionar como guias centralizados, onde especialistas em segurança, autoridades governamentais, formuladores de políticas, jornalistas e o público em geral podem compreender quem é quem nesse cenário.
No mês passado, o Google se tornou a mais recente empresa a reformular seu sistema de nomenclatura para grupos de invasores digitais. Ficaram no passado as designações como APT1, APT41 ou APT seguidas de números, método adotado pela Mandiant, empresa de segurança que foi independente e hoje pertence ao Google. A Mandiant foi pioneira na adoção de um esquema de nomes. A partir de agora, o sistema do Google funciona de forma relativamente simples: cada grupo recebe um primeiro nome memorável e aleatório, acompanhado de um segundo termo cuja inicial indica o país de origem. Así, temos Castle para a China, Ion para o Irã, Neptune para a Coreia do Norte e Relic para a Rússia.
Segundo Shane Huntley, diretor de tecnologia do Grupo de Inteligência contra Ameaças do Google, a equipe interna de caça a hackers da empresa, essa reformulação foi necessária para trazer clareza aos pesquisadores de segurança tanto internos quanto externos. Huntley revelou à publicação especializada que, no início da década de 2010, quando as empresas começaram a publicar relatórios sobre ataques cibernéticos e a nomear os responsáveis, a expectativa era de que o número de grupos de ameaça fosse bem menor do que o atual.
O Google atualmente monitora mais de 5 mil clusters de atividades em diversos países, de acordo com John Hultquist, analista-chefe do Grupo de Inteligência contra Ameaças. Huntley afirmou que são pouquíssimas as nações desenvolvidas que não possuem suas próprias capacidades cibernéticas e grupos de invasores.
Mas qual é o verdadeiro propósito de nomear grupos de hackers? Não se trata apenas de um exercício teórico, explicou Huntley. O objetivo é estabelecer uma compreensão básica de quem está atacando quem e como esses ataques são realizados. Dessa forma, as organizações podem reconhecer ameaças com maior rapidez, se preparar contra elas, idealmente impedi-las ou, pelo menos, investigar incidentes de forma mais ágil. Tudo isso só é possível se os invasores forem nomeados e monitorados de forma consistente.
Se uma organização for realmente atacada ou estiver lidando com algum incidente, conhecer o comportamento desse ator, o que ele faz e o que fez no passado se torna extremamente importante para orientar a resposta e também para planejar a defesa contra essas ameaças, disse Huntley. Compreender como opera o grupo de hackers ligados ao governo norte-coreano, conhecido como Lazarus Group, quais são seus objetivos habituais e para quem trabalha oferece aos defensores um ponto de partida para lidar com esses invasores.
O monitoramento de hackers apoiados por governos, embora desafiador, é mais simples do que acompanhar grupos cibercriminosos e hackers mercenários, explicou Huntley. Os invasores governamentais tendem a ter alvos e atividades mais consistentes, enquanto os grupos cibercriminosos possuem membros que entram e saem, algumas vezes se dividem e são, de modo geral, mais fluidos. Grupos de hackers mercenários e fabricantes de spyware costumam ter clientes em diferentes partes do mundo, o que torna o rastreamento deles ligeiramente mais difícil.
Uma crítica frequente sempre que um novo sistema de nomenclatura é anunciado é: por que todas as empresas e organizações não adotam os mesmos codinomes? Embora pareça uma questão simples de responder, a realidade é que cada empresa possui uma perspectiva ligeiramente diferente sobre cada grupo, baseada em seus próprios conjuntos de dados e telemetria. Huntley afirmou que essa é uma realidade inevitável que não pode ser resolvida apenas com o compartilhamento de mais informações entre empresas e grupos de pesquisadores.
Ninguém possui visibilidade perfeita. Estamos construindo nosso modelo e nossa melhor compreensão, mas nunca saberemos tudo sobre o que está acontecendo, declarou Huntley. Ao unificar o esquema de nomenclatura do antigo Grupo de Análise de Ameaças do Google, que era liderado por Huntley, e da Mandiant, pelo menos agora há um sistema a menos para memorizar.
Fonte: TechCrunch
