Google rinomina gli attori cyber con una tassonomia unificata

🛡️ Executive Summary

• Google sostituisce le nomenclature parallele di Mandiant e TAG con cryptonym composti da due parole, più riconoscibili e contestualizzati.
• La seconda parola segnala origine o attività: CASTLE per la Cina, ION per l’Iran, NEPTUNE per la Corea del Nord.
• I vecchi nomi e gli alias dei vendor restano ricercabili, mentre la sigla UNC continuerà a indicare cluster ancora in fase di analisi.

Google Threat Intelligence Group avvia una nuova tassonomia unificata per identificare gli attori cyber osservati attraverso i sistemi di Google, Mandiant e del precedente Threat Analysis Group. I gruppi riceveranno cryptonym formati da due parole, pensati per essere più memorabili e per offrire immediatamente un’indicazione sull’origine, sulla motivazione o sul tipo di attività. Il cambiamento supera le nomenclature parallele sviluppate nel tempo dalle diverse unità di intelligence, senza cancellare gli alias storici. Le designazioni precedenti, i riferimenti MITRE ATT&CK e i nomi assegnati dagli altri vendor resteranno indicizzati per consentire agli analisti di collegare le nuove identità alle campagne già documentate.

Google fonde i sistemi di Mandiant e TAG

La nuova convenzione nasce dalla necessità di integrare due modelli di tracciamento sviluppati separatamente. Mandiant utilizzava designazioni come APT e UNC, mentre il Threat Analysis Group di Google adottava propri identificativi e criteri operativi. La creazione del Google Threat Intelligence Group, che riunisce le capacità investigative delle due strutture, rendeva poco efficiente continuare a mantenere schemi paralleli per descrivere gli stessi attori o cluster parzialmente sovrapposti. Il problema non era soltanto editoriale: differenti nomi possono produrre confusione nei SOC, rallentare il confronto degli indicatori e rendere più difficile capire se due report descrivano lo stesso gruppo, una sua sottostruttura oppure attività soltanto simili. La questione aveva già spinto Microsoft e CrowdStrike a costruire una nomenclatura condivisa per i gruppi APT, nel tentativo di ridurre la frammentazione che caratterizza il settore della threat intelligence.

I nuovi nomi utilizzano due parole riconoscibili

Ogni attore riceverà una combinazione di due termini. La prima parola identifica in modo univoco il gruppo e potrà riprendere una denominazione già utilizzata nelle precedenti pubblicazioni, quando questa risulti sufficientemente riconoscibile. In assenza di un nome consolidato, Google genererà un termine casuale, successivamente verificato dagli analisti per evitare associazioni improprie, ambigue o capaci di introdurre pregiudizi nell’attribuzione. La seconda parola svolge invece una funzione classificatoria e comunica l’elemento considerato più rilevante per la difesa: origine geografica, motivazione o categoria operativa. Il sistema abbandona quindi la dipendenza esclusiva da numeri sequenziali come APT1 o da sigle che richiedono una conoscenza preventiva del modello adottato dal singolo vendor. Google ritiene che il tracciamento debba diventare più intuitivo, permettendo agli operatori di ricavare una prima informazione dal nome senza dover consultare ogni volta una tabella di corrispondenza.

CASTLE, ION e RELIC indicano l’origine attribuita

Nella fase iniziale, la seconda parola seguirà categorie definite da Google per alcuni dei principali ecosistemi di minaccia. CASTLE identificherà gli attori collegati alla Repubblica Popolare Cinese, ION quelli attribuiti all’Iran, NEPTUNE i gruppi nordcoreani e RELIC quelli associati alla Russia. La parola COMET verrà invece utilizzata per il cybercrime, dove la motivazione economica assume maggiore importanza rispetto all’origine nazionale. Un nome terminante in NEPTUNE permetterà quindi di riconoscere immediatamente un cluster ritenuto nordcoreano, anche senza conoscere la prima parola scelta per distinguerlo dagli altri operatori di Pyongyang.

Questa impostazione potrebbe rendere più leggibili casi complessi come APT45, il gruppo nordcoreano Andariel analizzato da Google, ma non elimina la necessità di esaminare il livello di confidenza e le evidenze alla base dell’attribuzione.

Gli alias non dimostrano sempre la stessa identità

Google riconosce che nessuna organizzazione possiede una visibilità completa sul panorama delle minacce. Due società possono osservare infrastrutture, malware, vittime o periodi operativi differenti e arrivare a suddividere lo stesso ecosistema in gruppi non perfettamente coincidenti. Per questo motivo la corrispondenza tra un nuovo cryptonym, un nome Microsoft, una designazione CrowdStrike e una voce MITRE non deve essere interpretata automaticamente come un’equivalenza assoluta. Un vendor potrebbe tracciare l’intera organizzazione, mentre un altro identifica una singola unità operativa, una campagna o un insieme di infrastrutture temporaneamente condivise. È quanto accade nelle analisi su UNC3886, dove Mandiant ha ricostruito attività di spionaggio attraverso VMware, router e tecniche di persistenza, senza che ogni alias usato nel settore rappresenti necessariamente lo stesso perimetro investigativo. La nuova tassonomia semplifica quindi la consultazione, ma non risolve la natura probabilistica dell’attribuzione cyber.

La sigla UNC resta per i cluster ancora incerti

Google continuerà a utilizzare la designazione UNC, abbreviazione di “uncategorized”, per le attività ancora nelle prime fasi dell’indagine. Questi cluster possono essere definiti da un insieme di indicatori, infrastrutture, malware o comportamenti coerenti, ma non dispongono ancora di elementi sufficienti per ricevere un’attribuzione stabile o un cryptonym definitivo. La conservazione di UNC evita di assegnare prematuramente un’identità nazionale o criminale a campagne che potrebbero cambiare interpretazione con l’arrivo di nuove evidenze. Quando il livello di conoscenza aumenta, il cluster può essere fuso con un attore già noto oppure ricevere un nome nel nuovo schema. Questa gradualità resta essenziale perché malware condivisi, server affittati, broker di accesso e strumenti commerciali possono creare sovrapposizioni apparenti tra operatori differenti. Il nome deve quindi rappresentare il risultato di un processo analitico, non trasformarsi in una conclusione anticipata sull’autore dell’attacco.

I vecchi nomi resteranno ricercabili nella piattaforma

Google ha inizialmente rinominato alcune decine dei gruppi più attivi e prevede di estendere progressivamente il sistema. Gli utenti della piattaforma Google Threat Intelligence continueranno a trovare i nomi precedenti, gli alias attribuiti dagli altri fornitori e le relative mappature MITRE ATT&CK. Questa continuità è necessaria per evitare che il cambio di tassonomia spezzi anni di report, regole di rilevamento, playbook di risposta e documentazione interna. La nuova nomenclatura descritta dal Google Threat Intelligence Group punta infatti a semplificare il lavoro degli analisti senza cancellare il contesto storico accumulato. Il sistema dovrà però essere adottato con disciplina anche nelle comunicazioni pubbliche: ogni nuovo nome dovrebbe essere accompagnato dagli alias principali, almeno durante la fase di transizione, per impedire che un cambiamento pensato per ridurre la confusione produca temporaneamente un ulteriore livello di frammentazione.

La tassonomia migliora la velocità ma non l’attribuzione

Il vantaggio principale riguarda la rapidità con cui SOC, CERT e responsabili della risposta possono interpretare un report. Una denominazione coerente rende più semplice collegare campagne, cercare indicatori e capire immediatamente se l’attività viene associata a spionaggio statale o cybercrime. Non modifica però la qualità delle prove disponibili né risolve i conflitti tra i vendor. Anche gruppi ampiamente conosciuti come APT41 possono comprendere operatori, contractor, infrastrutture e attività criminali difficili da separare, come mostrato dalle operazioni con cui Google e Mandiant hanno smantellato infrastrutture cloud malevole. La nuova nomenclatura offre dunque un linguaggio più leggibile per descrivere la minaccia, ma l’attribuzione continuerà a dipendere da telemetria, analisi forense, infrastrutture, sovrapposizioni operative e valutazioni di intelligence soggette a revisione.