Автор не согласен с мнением Mandiant и Google. Публикации носят научно-исследовательский характер.
Google Threat Intelligence Group · 24 июля 2026
Новая система имён киберугроз от GTIG
Google Threat Intelligence Group вводит единую схему именования акторов: запоминаемые двухсловные криптонимы вместо параллельных систем Mandiant и TAG. 30 июля к посту добавили таблицу переименований известных групп.
Зачем менять
От APT-номеров к интуитивным криптонимам
Исторически Mandiant и Google TAG вели разные схемы. Слияние в GTIG потребовало общего трекинга. Числовые ярлыки вроде APT1 плохо передают контекст для быстрой реакции. Новая конвенция ближе к индустриальным cryptonym-системам: трекинг должен опираться на интуицию, а не на заучивание.
Важно: у разных вендоров разная видимость, поэтому «яблоко к яблоку» между таксономиями редко возможно. GTIG сознательно упрощает схему, сохраняя индексы старых имён, MITRE ATT&CK и алиасы в платформе GTI.
Схема
Два слова: уникальный ярлык + категория
Первое слово — уникальный запоминающийся термин (часто из прежнего публичного имени или случайный после vetting). Второе — категория по происхождению/мотивации, критичная для обороны. Примеры вторых слов: CASTLE (КНР), ION (Иран), NEPTUNE (КНДР), RELIC (Россия), COMET (киберкриминал).
UNC («uncategorized») сохраняется для ранних кластеров, пока атрибуция и границы кампаний не стабилизировались. Переименование десятков наиболее активных групп идёт поэтапно.
Примеры переименований
Ориентиры для аналитиков
Криминал: FIN11→RAZOR COMET, FIN6→SQUID COMET, FIN7→WILD COMET, FIN8→PUNCH COMET. Иран: APT33→BLEAK ION, APT34→SOLAR ION, APT42/CALANQUE→CALANQUE ION. КНДР: APT37→PLAIN NEPTUNE, UNC1069/MASAN→MIDNIGHT NEPTUNE.
КНР: APT41→SPIRE CASTLE, TEMP.Hex→BASIN CASTLE, UNC1088→RAVINE CASTLE. Россия: APT28→LAKE RELIC, APT29/ICECAP→ICE RELIC, APT44/FROZENBARENTS→SANDWORM RELIC, UNC4057/COLDRIVER→COLD RELIC. Полная таблица — в оригинале GTIG.
Для команд
Как жить с переходом
Обновляйте внутренние playbooks и detection content с алиасами «старое ↔ новое». В отчётах указывайте оба имени на переходный период. Не смешивайте UNC-кластеры с финальными cryptonyms без уверенности в атрибуции.
При чтении чужих отчётов сверяйте не только имя, но и TTPs и жертв: совпадение маркетингового имени ещё не означает идентичность кластера между вендорами.
# alias map snippet for internal wiki (illustrative)
aliases:
ICE_RELIC: [APT29, ICECAP]
SANDWORM_RELIC: [APT44, FROZENBARENTS]
MIDNIGHT_NEPTUNE: [UNC1069, MASAN]
BASIN_CASTLE: [TEMP.Hex, BASIN]
CALANQUE_ION: [APT42, CALANQUE]
policy:
publish_both_names_during_transition: true
keep_unc_until_stable: true