Гостев из будущего

Про то, как аналитики придумывали названия вредоносным программам в стародавние времена, достаточно широко рассказано в нашей книге «Вирьё моё». Сейчас так уже не поступают: угрозы стали многокомпонентными, и называть приходится либо атаку целиком, либо группу, которая за ней стоит. И здесь у разных вендоров виден совершенно разный подход. 🌪 Microsoft строит имена по погодной схеме: семейство обозначается природным явлением, привязанным к стране. Blizzard — это Россия, Typhoon — Китай, Sandstorm — Иран, Sleet — Северная Корея. Плюс произвольное прилагательное. Так получаются то Midnight Blizzard, то Forest Blizzard, то Charcoal Typhoon. 🐼 CrowdStrike всё строит вокруг зверей: прилагательное плюс животное — Bear, Panda, Kitten и так далее. Мол, все же понимают, что раз Медведь, то это русские. ✨ Palo Alto — тематические серии по созвездиям/мифологии: Cloaked Ursa, Silver Terrier, Scorpius для ransomware, Orion для BEC, Libra для финансовых атак. 🐟 Accenture iDefense — рыбы. Буквально серия рыбных названий, ничего не выдающих про группу. 🪨 Dragos (ICS/OT) — минералы и элементы: Electrum, Magnallium, Voltzite. Нарочно нейтрально, чтобы не намекать на атрибуцию. В общем, усреднённо нынче это какой-нибудь условный Pink Giraffe или Iron Cucumber — смысла ноль. В Касперском атрибуцию тоже не очень любят, поэтому наши названия — отдельный вид искусства. Обычно в них заложена сложная логическая цепочка, совершенно неочевидная для публики, но многими из этих названий я горжусь до сих пор. RedOctober — первая русскоязычная APT, которую мы раскрыли. Тут игра смыслов: невидимая угроза, почти как подводная лодка, плюс наша охота на неё в октябре, плюс русскоязычный след — и на выходе прямая аналогия с фильмом «Охота за Красным Октябрём». Или вот Cloud Atlas — APT, активная до сих пор. Когда мы её нашли, ощущение было странное: будто все её модули и трюки мы уже видели, хотя код был совершенно другой. Видели как раз в RedOctober. То ли авторы Октября решили выкинуть старые наработки и переписать всё с нуля, то ли кто-то прочитал наши описания и сделал так же, но по-своему. А я в тот момент был фанатом фильма Cloud Atlas — недооценённого публикой творения Тыквера и сестёр Вачовски. Сюжет там построен на идее реинкарнации одних и тех же людей на протяжении столетий, которые снова и снова встречают друг друга. Так что аналогия — эта APT есть новая «душа» Октября — пришла сразу. Ну а Cloud — отсылка к функционалу: украденные данные группа выгружала в публичные облака. И да, это продолжение концепции связи имени APT с каким-нибудь фильмом. Как я сказал, атрибуцию мы не очень любим — но из любого правила бывают исключения. Вот так однажды разговаривал я с аналитиком Димой, который прямо ругался на новую атаку, еще не имевшую названия. — Эти Кимы задолбали, просто суки! — Ни слова больше! Так в мировые СМИ попала и до сих пор гуляет группа Kimsuky. Официальная версия, конечно, куда приличнее — мол, имя пошло от засветившегося у атакующих почтового аккаунта kimsukyang. @gostev_future