סימון שמות שחקני האיומים של Microsoft: פענוח Typhoon, Blizzard ו-Storm

By Mirko Peters · 2026-10-24

למדו כיצד Microsoft מסמנת שחקני איומים בסייבר באמצעות התוויות Typhoon, Blizzard ו-Storm. הבינו בקלות את המניעים והמקורות של היריבים.

Automatically translated with AI from the original post. Read the English original

גלו כיצד Microsoft מסווגת ומציינת שמות לשחקני איומים בסייבר, באמצעות יסודות כמו Typhoon עבור סין, Blizzard עבור רוסיה ו-Storm עבור קבוצות שטרם אומתו. למדו כיצד פענוח שמות המבצעים האלה עוזר לצוותי אבטחה לזהות במהירות את מקורות התקיפות, את מניעיהן ואת הטכניקות שבהן הן משתמשות, בלי להזדקק לרקע מעמיק בתחום אבטחת הסייבר.

עיקרי הדברים

• Microsoft מקשרת בין שמות המשפחה של שחקני האיומים לבין מוצאם הגיאוגרפי או המניע המבצעי העיקרי שלהם.
• Typhoon מציין שחקנים שמקורם בסין או שמזוהים עמה, ואילו Blizzard מצביע על רוסיה.
• Sleet מייצג את צפון קוריאה, Sandstorm ממופה לאיראן, ו-Tempest מזהה פושעים המונעים מכסף.
• תוויות זמניות כמו 'Storm-0558' משמשות לאיומים פעילים לפני שהשיוך המלא מאושר.
• הבנת שמות שחקני האיומים עוזרת לאנשי IT שאינם מומחי אבטחה להפוך דוחות אבטחה מטרידים למודיעין מעשי ומבוסס הקשר.

פענוח מערכת השמות של Microsoft לשחקני איומים

כאשר צוותי אבטחה פותחים את דוחות האירועים היומיים שלהם, הם לרוב מוצפים במונחים טכניים ובקודי זיהוי אקראיים. כדי להפוך את האיומים האלה לקלים יותר לעיכול ולמעקב בנוף האבטחה הגלובלי, Microsoft שינתה את אופן הסיווג של קבוצות היריבים. במקום להסתמך על מחרוזות הקסדצימליות לא ברורות, או לאלץ מגינים לזכור שמות סותרים של ספקים שונים, Microsoft מיפתה את קבוצות האיומים לשמות משפחה הקשורים למזג אוויר.

מוסכמת השמות הזו אינה אקראית. כל מילה בפרופיל של שחקן איומים נושאת משמעות הקשרית מכוונת, שעוזרת לאנליסטים להבין מיד מאין התקיפה צפויה להגיע ומה היריב מבקש להשיג. בין אם אתם מנהלי IT שמנהלים סביבה היברידית ובין אם אתם מקבלי החלטות שמנסים להבין את כותרות הסייבר, לימוד הטקסונומיה הזו הופך רעש כאוטי לידע מובנה ומעשי.

כיצד שמות משפחה מסמנים מוצא גיאוגרפי

הבסיס של מערכת השמות של Microsoft נשען על שם המשפחה הראשי שמוענק לקבוצת איומים. התוויות הגיאוגרפיות האלה קובעות את המוצא או החסות המשוערים של מבצעי הסייבר:

• Typhoon: קבוצות המיוחסות לסין או הפועלות ממנה, ולרוב עוסקות בריגול ארוך טווח נגד סוכנויות ממשלתיות, מוחות מחשבה ותשתיות קריטיות.
• Blizzard: יריבים שמקורם ברוסיה או הקשורים אליה, ולרוב מזוהים עם איסוף מודיעין בחסות מדינה ועם שיבושים גיאופוליטיים בולטים.
• Sandstorm: שחקני איומים הקשורים לאינטרסים מדינתיים של איראן, שבדרך כלל מכוונים ליריבים אזוריים, לקבלני ביטחון ולחברות תקשורת.
• Sleet: קבוצות הקשורות לצפון קוריאה, שמתמקדות בעיקר בגניבת קריפטו, בפריצות לגופים פיננסיים ובמודיעין אסטרטגי.

כאשר מקשרים קידומת כמו Typhoon או Blizzard לאירוע, אנשי אבטחה מקבלים מיד הקשר גיאוגרפי ברמה גבוהה לגבי מי עלול לדפוק על הדלתות הדיגיטליות שלהם.

זיהוי מניעים באמצעות מיקוד מבצעי

מעבר לגיאוגרפיה, ארכיטקטורת השמות של Microsoft מסווגת במפורש לפי מה שמניע את התוקפים האלה. המזהה המשני או שם המשפחה הספציפי מדגיש את המטרה העיקרית של היריב:

• Tempest: שמור אך ורק לסינדיקטים של פושעי סייבר המונעים מכסף, כגון מפעילי כופרה וקבוצות פישינג מתוחכמות.
• Flood: מיועד במיוחד למבצעי השפעה ולקמפיינים מתואמים של מידע מטעה שנועדו לשנות תפיסה ציבורית ולא לגנוב נתונים.
• Tsunami: עוקב אחר שחקנים התקפיים מהמגזר הפרטי, כלומר חברות מסחריות שמפתחות, אורזות ומוכרות נשק סייבר ללקוחות משלמים שונים.

ההבחנה החכמה הזו מאפשרת לארגונים להבדיל בין מדינה שמנסה לשאוב קניין רוחני בשקט לבין צוות כופרה המונע מכסף, שמבקש לנעול עמדות עבודה לצורך תשלום סחיטה.

תפקידן של תוויות 'Storm' בחקירה המוקדמת

אחת הנקודות הנפוצות ביותר לבלבול בקרב צוותים שחוקרים מודיעין איומים היא מפגש עם כינויים כמו Storm-0558. כאשר Microsoft מזהה פעילות זדונית שמאורגנת ופעילה בבירור, אך הזהות המדויקת, החסות המדינתית או החסות ארוכת הטווח של הקבוצה עדיין לא אושרו, היא מקצה תווית זמנית.

המילה Storm ואחריה מספר בן ארבע ספרות מציינות שהפעילות אמיתית ומסוכנת לחלוטין, אך השיוך עדיין נמצא בחקירה פעילה. כאשר חוקרי האבטחה של Microsoft אוספים מספיק ראיות חד-משמעיות, כגון קוד חופף, תשתית משותפת או טקטיקות, טכניקות ונהלים (TTPs) ספציפיים, הקבוצה עוברת מתווית ה-Storm הזמנית לשם משפחה רשמי וקבוע ממערכת מזג האוויר.

גישור על הפער באמצעות כינויים של התעשייה

ספקי אבטחת סייבר שונים השתמשו היסטורית בשמות שונים לחלוטין לאותן קבוצות איומים בדיוק, וזה יצר בלבול עצום במהלך תגובה לאירועים בין חברות. Microsoft ממפה באופן פעיל את טקסונומיית השמות הפנימית שלה לשמות המקבילים הישנים בתעשייה. לדוגמה, הקבוצה הרוסית שידועה פנימית ב-Microsoft בשם Forest Blizzard נעקבת בתעשייה בשם Fancy Bear או APT28.

ההצלבה השקופה הזו מבטיחה שבין אם אנליסט קורא תדריך איומים מ-Microsoft, מספק ענן מתחרה או מפיד מודיעין קוד פתוח, הוא יזהה מיד שכל שלושת הדוחות מתארים את אותו יריב בדיוק. היא מבטלת ניחושים ומייעלת שיתוף פעולה בין ספקים רבים במהלך אירועי אבטחה גדולים.

סיכום

כדי להבין איומי סייבר מודרניים לא מספיק להגיב להבהובי נוריות ולשגיאות בלוגים; צריך להבין את היריבים האנושיים הפועלים מאחורי המסך. באמצעות מוסכמות שמות מובנות כמו Typhoon, Blizzard ו-Storm, Microsoft עוזרת לארגונים להעניק הקשר להתראות ולקשר אינדיקטורים טכניים מבודדים לקמפיינים רחבים יותר של פשעים ושל מדינות.

כדי להעמיק בנושא DNS פסיבי, באינדיקטורים לפריצה ובאופן שבו אפשר לנצל את התובנות האלה בתוך הארגון שלכם, האזינו לפרק המלא של פודקאסט M365 FM, להסבר מלא ובלי ז'רגון על אסטרטגיות מודיעין איומים מודרניות.

שאלות נפוצות

מה המשמעות של המונח 'Blizzard' במודיעין האיומים של Microsoft?

Blizzard הוא שם משפחה שבו Microsoft משתמשת לזיהוי שחקני איומים ומבצעי סייבר שמקורם ברוסיה או שמיושרים איתה, ובדרך כלל הם מתמקדים בריגול ובאיסוף מודיעין גיאופוליטי.

מדוע Microsoft משתמשת בתוויות 'Storm' במקום בשמות?

תוויות Storm הן כינויים זמניים שמוקצים לאשכולות איומים חדשים ופעילים, כאשר הזהות הבסיסית או החסות המדינתית של הקבוצה עדיין נבדקות על ידי חוקרי אבטחה.

במה קבוצות Tempest שונות מקבוצות Typhoon?

קבוצות Tempest הן פושעים המונעים מכסף שמתמקדים בסחיטה, בכופרה וברווח, ואילו קבוצות Typhoon הן ישויות בחסות מדינה או מיושרות למדינה הפועלות מסין, ומתמקדות בעיקר בריגול.

האם ספקי אבטחה אחרים משתמשים בשמות השחקנים של Microsoft?

ספקים אחרים משתמשים לעיתים קרובות בשמות משלהם (כגון מספרי APT או שמות של חיות), אך Microsoft ממפה באופן פעיל את שמותיה המבוססים על מזג אוויר לשמות המקבילים בתעשייה, כגון APT28 או Fancy Bear, כדי לשמור על בהירות בין ספקים שונים.