Por más de una década, la industria de la ciberseguridad ha asignado nombres a diferentes grupos de hackers. Algunos, como Fancy Bear, han cruzado a la corriente principal por sus ataques prominentes y nombres memorables. Otros solo son conocidos dentro de la industria de la ciberseguridad.

A menudo, incluso los expertos del sector no pueden seguirles el ritmo. En parte, porque cada empresa nombra a los grupos de hackers de manera diferente. Por eso existen recursos como este, que intentan ser una ventanilla única donde profesionales de ciberseguridad, funcionarios de gobierno, policymakers, periodistas y el público en general puedan entender quién es quién.

El mes pasado, Google se convirtió en la última compañía en renovar su sistema de nombres para grupos de hackers.

Se acabaron los días de APT1, APT41 o APT cualquier número — el sistema adoptado por Mandiant, la firma de seguridad independiente que ahora es parte de Google. Mandiant fue la primera en adoptar un esquema de nombres.

De ahora en adelante, el sistema de Google es relativamente simple: un grupo de hackers tendrá un primer nombre memorable y aleatorio, y una segunda palabra cuya inicial indica el país de origen: Castle para China, Ion para Irán, Neptune para Corea del Norte y Relic para Rusia.

Por qué renovar el sistema

Según Shane Huntley, chief technology officer del Google Threat Intelligence Group — el equipo interno de caza de hackers de la compañía — la renovación fue necesaria para traer claridad a los investigadores de seguridad, tanto dentro de la empresa como externamente.

A principios de la década de 2010, cuando las empresas empezaron a publicar reportes sobre ciberataques y a nombrar a los hackers detrás de ellos, Huntley dijo a TechCrunch que “no esperábamos tener tantos grupos de amenazas como tenemos hoy”.

Se había vuelto difícil seguirles la pista a todos. Google ahora rastrea más de 5,000 “clústeres de actividad” en varios países, según John Hultquist, analista jefe del Google Threat Intelligence Group. Huntley dijo que hay muy pocas naciones desarrolladas que no tengan sus propias capacidades cibernéticas y grupos de hacking.

¿Cuál es el punto de nombrar a los grupos de hackers?

No es solo un ejercicio académico, explicó Huntley. El objetivo es tener una comprensión base de quién ataca a quién, y cómo lo atacan. Así las organizaciones pueden reconocer amenazas más rápido, prepararse contra ellas, idealmente detenerlas, o al menos investigar incidentes con mayor prontitud.

Todo eso, dijo, solo es posible si nombras a los hackers y les das seguimiento de manera consistente.

“Si realmente te hackean o estás lidiando con algún incidente, saber cómo se comporta ese actor, qué hace, qué ha hecho en el pasado — todos estos detalles se vuelven críticamente importantes para la respuesta y para trabajar tu cobertura contra estas amenazas.”

Saber cómo se comporta el grupo de hackers gubernamentales de Corea del Norte, conocido como el Lazarus Group, cuáles son sus objetivos habituales y para quién trabajan, da a los defensores un punto de partida para lidiar con estos hackers.

Rastrear hackers patrocinados por estados vs. cibercriminales

Rastrear hackers patrocinados por estados, aunque desafiante, es más fácil que rastrear grupos cibercriminales y hackers por encargo, explicó Huntley. Los hackers gubernamentales tienden a tener objetivos y actividades más consistentes, mientras que los grupos cibercriminales tienen miembros que van y vienen, a veces se dividen, y por lo demás son más amorfos. Los grupos de hackers por encargo y los fabricantes de spyware tienden a tener muchos clientes en diferentes partes del mundo, lo que los hace un poco más difíciles de rastrear.

Una crítica común cada vez que se anuncia un nuevo sistema de nombres es: ¿por qué todas las empresas y organizaciones no usan los mismos nombres clave? Aunque parece una pregunta fácil de responder, la realidad es que cada empresa tiene una visión ligeramente diferente de cada grupo, basada en sus propios conjuntos de datos y telemetría. Huntley dijo que esta es una realidad ineludible que no puede evitarse solo compartiendo más información entre empresas y grupos de investigadores.

“No hay nadie con visibilidad perfecta”, dijo. “Estamos construyendo nuestro modelo y nuestro mejor entendimiento, pero nunca sabremos todo sobre lo que está pasando”.

Al unificar el esquema de nombres del antiguo Threat Analysis Group de Google, que Huntley dirigía, y el de Mandiant, al menos ahora hay un esquema menos que recordar. Para todo lo demás, consulta esta lista gigantesca.

“La meta es tener una comprensión base de quién ataca a quién, y cómo lo atacan. Así las organizaciones pueden reconocer amenazas más rápido.”

Sigue explorando estos temas en el blog de DojoFullStack: la ciberseguridad, la inteligencia de amenazas y las buenas prácticas de defensa son temas clave para developers y emprendedores LATAM que construyen productos seguros.