Microsofts naamgevingsconventie voor dreigingsactoren: Typhoon, Blizzard en Storm ontrafeld

By Mirko Peters · 2026-10-24

Ontdek hoe Microsoft cyberdreigingsactoren benoemt met de labels Typhoon, Blizzard en Storm. Begrijp eenvoudig welke motieven en herkomst achter een aanvaller zitten.

Automatically translated with AI from the original post. Read the English original

Ontdek hoe Microsoft cyberdreigingsactoren categoriseert en benoemt met elementen zoals Typhoon voor China, Blizzard voor Rusland en Storm voor niet-geverifieerde groepen. Leer hoe het ontcijferen van deze operationele namen beveiligingsteams helpt om snel de herkomst, motieven en technieken van een aanval te herkennen, zonder diepgaande cybersecurity-kennis nodig te hebben.

Belangrijkste punten

• Microsoft koppelt familienamen van dreigingsactoren aan hun geografische herkomst of hun belangrijkste operationele motief.
• Typhoon duidt op actoren uit China of actoren die daarmee zijn gelieerd, terwijl Blizzard naar Rusland verwijst.
• Sleet staat voor Noord-Korea, Sandstorm koppelt aan Iran en Tempest identificeert financieel gedreven criminelen.
• Tijdelijke labels zoals 'Storm-0558' worden gebruikt voor actieve dreigingen voordat de herkomst volledig is bevestigd.
• Inzicht in namen van dreigingsactoren helpt IT-generalisten om alarmerende beveiligingsrapporten om te zetten in bruikbare, contextuele informatie.

Het ontcijferen van het naamgevingssysteem van Microsoft voor dreigingsactoren

Wanneer beveiligingsteams hun dagelijkse incidentrapporten openen, worden ze vaak overspoeld met technisch jargon en willekeurige identificatiecodes. Om deze dreigingen makkelijker te begrijpen en te volgen binnen het wereldwijde beveiligingslandschap, heeft Microsoft de manier waarop het vijandige groepen categoriseert grondig herzien. In plaats van te vertrouwen op obscure hexadecimale reeksen of defensieteams te laten onthouden welke conflicterende leveranciersnamen er zijn, heeft Microsoft dreigingsgroepen gekoppeld aan familienamen die met het weer te maken hebben.

Deze naamgevingsconventie is niet willekeurig. Elk woord in een profiel van een dreigingsactor draagt een bewuste contextuele betekenis en helpt analisten direct te begrijpen waar een aanval waarschijnlijk vandaan komt en wat de aanvaller hoopt te bereiken. Of je nu een IT-beheerder bent die een hybride omgeving beheert of een beslisser die de cybersecuritykoppen probeert te duiden: deze taxonomie leren maakt van chaotische ruis gestructureerde, bruikbare kennis.

Hoe familienamen de geografische herkomst aangeven

De basis van het naamgevingssysteem van Microsoft is de primaire familienaam die aan een dreigingsgroep wordt toegekend. Deze geografische labels geven de vermoedelijke herkomst of sponsoring van de cyberoperaties aan:

• Typhoon: Groepen die worden toegeschreven aan China of die vanuit China opereren, die regelmatig langdurige spionage uitvoeren tegen overheidsinstanties, denktanks en kritieke infrastructuur.
• Blizzard: Aanvallers die afkomstig zijn uit of verbonden zijn met Rusland, vaak geassocieerd met door staten gesponsorde inlichtingenverzameling en opvallende geopolitieke verstoringen.
• Sandstorm: Dreigingsactoren die gelinkt zijn aan Iraanse staatsbelangen en zich meestal richten op regionale rivalen, defensiecontractanten en telecombedrijven.
• Sleet: Groepen die worden geassocieerd met Noord-Korea en zich sterk richten op diefstal van cryptovaluta, inbraken bij financiële instellingen en strategische inlichtingen.

Door een prefix als Typhoon of Blizzard aan een incident te koppelen, krijgen beveiligingsprofessionals direct een geografische context op hoofdlijnen over wie er mogelijk aan hun digitale deur klopt.

Motieven identificeren via de operationele focus

Naast geografie legt de naamgevingsarchitectuur van Microsoft expliciet vast wat deze aanvallers drijft. De secundaire aanduiding of specifieke familienaam laat het primaire doel van de tegenstander zien:

• Tempest: Exclusief gereserveerd voor financieel gemotiveerde criminele syndicaten, zoals ransomware-operators en geavanceerde phishinggroepen.
• Flood: Specifiek toegepast op beïnvloedingsoperaties en gecoördineerde desinformatiecampagnes die bedoeld zijn om de publieke perceptie te veranderen in plaats van data te stelen.
• Tsunami: Volgt offensieve actoren uit de private sector: commerciële bedrijven die cyberwapens ontwikkelen, verpakken en verkopen aan verschillende betalende klanten.

Dit slimme onderscheid helpt organisaties om een natiestaat die stilletjes intellectueel eigendom wegsluist te onderscheiden van een financieel gemotiveerde ransomwarebende die werkstations op slot zet voor een afpersingsbetaling.

Het doel van ‘Storm’-labels in de vroege onderzoeksfase

Een van de meest voorkomende verwarringen voor teams die threat intelligence verkennen, is het tegenkomen van aanduidingen zoals Storm-0558. Wanneer Microsoft kwaadaardige activiteit detecteert die duidelijk georganiseerd en actief is, maar waarvan de definitieve identiteit, steun vanuit een natiestaat of langetermijnsponsoring van de groep nog niet bevestigd is, kent het een tijdelijk tussenlabel toe.

Het woord Storm, gevolgd door een viercijferig nummer, geeft aan dat de activiteit volledig echt en gevaarlijk is, maar dat de toeschrijving nog actief wordt onderzocht. Zodra de beveiligingsonderzoekers van Microsoft voldoende definitief bewijs verzamelen, zoals overlappende code, gedeelde infrastructuur of specifieke tactics, technieken en procedures (TTP’s), krijgt de groep een formele, permanente weersfamilienaam in plaats van het tijdelijke Storm-label.

De kloof overbruggen met industriële aliassen

Verschillende cybersecuritybedrijven gebruiken historisch gezien totaal verschillende namen voor precies dezelfde dreigingsgroepen, wat tijdens incidentresponses over bedrijfsgrenzen heen tot grote verwarring leidt. Microsoft koppelt zijn interne naamgevingstaxonomie actief aan oudere equivalenten uit de sector. Zo wordt de Russische groep die Microsoft intern kent als Forest Blizzard, in de sector breed gevolgd als Fancy Bear of APT28.

Deze transparante kruisverwijzing zorgt ervoor dat een analist die een dreigingsbriefing van Microsoft leest, een concurrerende cloudprovider, of een open-source intelligence-feed, direct kan herkennen dat alle drie de rapporten dezelfde tegenstander beschrijven. Het haalt het giswerk weg en stroomlijnt de samenwerking tussen meerdere leveranciers tijdens grote beveiligingsincidenten.

Conclusie

Om moderne cyberdreigingen te begrijpen, is meer nodig dan reageren op knipperende lampjes en foutlogs; je moet de menselijke tegenstanders begrijpen die achter het scherm opereren. Door gestructureerde naamgevingsconventies te gebruiken, zoals Typhoon, Blizzard en Storm, helpt Microsoft organisaties waarschuwingen in context te plaatsen en losse technische indicatoren te koppelen aan bredere criminele en natiestaatcampagnes.

Wil je dieper ingaan op passive DNS, indicators of compromise en hoe je deze inzichten binnen je organisatie kunt toepassen? Luister naar de volledige aflevering van de M365 FM Podcast voor een volledige, jargonvrije uitleg van moderne threat intelligence-strategieën.

Veelgestelde vragen

Wat betekent de term ‘Blizzard’ in de threat intelligence van Microsoft?

Blizzard is een familienaam die Microsoft gebruikt om dreigingsactoren en cyberoperaties aan te duiden die afkomstig zijn uit of gelieerd zijn aan Rusland. Ze richten zich doorgaans op spionage en het verzamelen van geopolitieke inlichtingen.

Waarom gebruikt Microsoft ‘Storm’-labels in plaats van namen?

Storm-labels zijn tijdelijke aanduidingen die worden toegekend aan nieuw ontdekte, actieve dreigingsclusters wanneer de onderliggende identiteit of het natiestaatsponsorschap van de groep nog door beveiligingsonderzoekers wordt onderzocht.

Hoe verschillen Tempest-groepen van Typhoon-groepen?

Tempest-groepen zijn financieel gemotiveerde criminelen die zich richten op afpersing, ransomware en winst, terwijl Typhoon-groepen staatsgesponsorde of gelieerde entiteiten zijn die voornamelijk vanuit China opereren en zich vooral richten op spionage.

Gebruiken andere beveiligingsleveranciers de dreigingsactorennamen van Microsoft?

Andere leveranciers gebruiken vaak hun eigen naamgevingsconventies (zoals APT-nummers of dierennamen), maar Microsoft koppelt zijn weergebaseerde namen actief aan branchebrede equivalenten zoals APT28 of Fancy Bear om duidelijkheid over leveranciers heen te waarborgen.