Porque é que os grupos de hackers têm nomes de código esquisitos

Fancy Bear, Lazarus, Volt Typhoon. Podiam ser bandas de metal, são grupos de hackers que andam a testar fronteiras há mais de uma década. A indústria de cibersegurança habituou-se a dar nomes de código a quem a anda a atacar. Agora a Google decidiu arrumar a própria casa e simplificar o esquema de batismos.

O sistema herdado da Mandiant vivia obcecado com números: APT1, APT41, APT-o-que-calhar. Funcionava para relatórios internos, mas é pouco memorável fora do círculo de iniciados. A Google, através da sua Threat Intelligence Group, anunciou um modelo novo: primeiro nome aleatório e fácil de lembrar, segundo nome que indica o país de origem. Castle para China, Ion para Irão, Neptune para Coreia do Norte, Relic para Rússia. A criatividade fica no início, a geopolítica na cauda.

Shane Huntley, CTO da Google Threat Intelligence Group, admite a raiz do problema: ninguém previa ter de seguir milhares de grupos diferentes. Hoje a Google acompanha mais de 5.000 “clusters de actividade”. E quase todos os países desenvolvidos têm capacidade ofensiva própria. Para quem está em Portugal isto traduz-se numa realidade simples: seja uma marca global como a Levi’s atingida por engenharia social, seja um fabricante asiático atacado por equipas norte-coreanas, há sempre alguém a tentar mapear quem fez o quê.

Nomear não é vaidade académica. É a base para responder a incidentes com alguma frieza. Se uma equipa de resposta sabe que está a lidar com o mesmo grupo que antes roubou criptomoedas para financiar o regime norte-coreano, ou que atacou infraestruturas energéticas na Europa de Leste, ganha contexto imediato: que vectores usam, que ferramentas repetem, que alvos preferem. Huntley é claro, se não deres nomes e não fores consistente, perdes rasto, e sem rasto não há defesa séria, só reacção caótica.

A ironia é que, mesmo com toda esta taxonomia, o mapa nunca está completo. Grupos patrocinados por Estados são relativamente estáveis, seguem linhas de comando e prioridades políticas. Já bandos de cibercrime e hackers-for-hire são líquidos. Entram e saem membros, fragmentam-se, reaparecem com outro nome, vendem serviços a meio mundo. Rotular isto é quase sociologia aplicada. E é aqui que a pretensão de ter um “nome único universal” cai por terra: cada empresa vê uma fatia diferente do tráfego, logo constrói um retrato diferente do mesmo actor.

Por isso é que a ideia de todas as empresas adoptarem o mesmo sistema de codenames soa bem em conferência, mas falha na prática. “Ninguém tem visibilidade perfeita”, resume Huntley. A Google unificou as suas etiquetas internas, o que já reduz algum ruído. Para o resto, quem quiser perceber quem anda a mexer em quê continua a viver entre tabelas de equivalência, relatórios de ameaça e monstros como a lista da MITRE ATT&CK. Em termos práticos, para qualquer organização portuguesa que leve a sério segurança, a lição é menos romântica: escolhe um esquema, documenta bem, mapeia para referências públicas e não te iludas, os nomes ajudam, mas não salvam ninguém que não faça o básico.

Fonte: TechCrunch