Convenção de nomenclatura de atores de ameaça da Microsoft: entendendo Typhoon, Blizzard e Storm

By Mirko Peters · 2026-10-24

Saiba como a Microsoft nomeia atores de ameaça cibernética usando os rótulos Typhoon, Blizzard e Storm. Entenda, de forma simples, as motivações e as origens dos adversários.

Automatically translated with AI from the original post. Read the English original

Descubra como a Microsoft categoriza e nomeia atores de ameaça cibernética usando os elementos: Typhoon para a China, Blizzard para a Rússia e Storm para grupos não verificados. Saiba como decodificar esses identificadores operacionais ajuda as equipes de segurança a identificar rapidamente a origem, as motivações e as técnicas dos ataques, sem precisar de uma formação profunda em cibersegurança.

Principais conclusões

• A Microsoft correlaciona os nomes de família dos atores de ameaça com sua origem geográfica ou sua principal motivação operacional.
• Typhoon designa atores originados na China ou alinhados a ela, enquanto Blizzard aponta para a Rússia.
• Sleet representa a Coreia do Norte, Sandstorm está associado ao Irã, e Tempest identifica criminosos motivados por ganho financeiro.
• Rótulos temporários como 'Storm-0558' são usados para ameaças ativas antes que a atribuição completa seja confirmada.
• Entender os nomes dos atores de ameaça ajuda os generalistas de TI a traduzir relatórios de segurança alarmantes em inteligência contextualizada e acionável.

Decodificando o sistema de nomes de atores de ameaça da Microsoft

Quando as equipes de segurança abrem seus relatórios diários de incidentes, muitas vezes são bombardeadas com jargões técnicos e códigos de identificação aleatórios. Para tornar essas ameaças mais fáceis de entender e acompanhar em todo o cenário global de segurança, a Microsoft reformulou a forma como categoriza os grupos adversários. Em vez de depender de cadeias hexadecimais obscuras ou obrigar os defensores a memorizar nomes conflitantes de fornecedores, a Microsoft mapeou os grupos de ameaça para nomes de família relacionados ao clima.

Essa convenção de nomenclatura não é aleatória. Cada palavra em um perfil de ameaça carrega um significado contextual deliberado, que ajuda os analistas a entender de imediato de onde um ataque provavelmente vem e o que o adversário pretende alcançar. Seja você um administrador de TI que gerencia um ambiente híbrido ou um tomador de decisão tentando dar sentido às manchetes de cibersegurança, aprender essa taxonomia transforma ruído caótico em conhecimento estruturado e acionável.

Como os nomes de família indicam a origem geográfica

A base do sistema de nomenclatura da Microsoft está no nome de família principal atribuído a um grupo de ameaça. Essas marcações geográficas estabelecem a origem presumida ou o patrocínio das operações cibernéticas:

• Typhoon: grupos atribuídos à China ou que operam a partir dela, frequentemente envolvidos em espionagem de longo prazo contra órgãos governamentais, centros de estudos e infraestrutura crítica.
• Blizzard: adversários originados na Rússia ou ligados a ela, geralmente associados à coleta de inteligência patrocinada por Estados e a disrupções geopolíticas de grande repercussão.
• Sandstorm: atores de ameaça ligados a interesses estatais do Irã, normalmente voltados a rivais regionais, fornecedores de defesa e empresas de telecomunicações.
• Sleet: grupos associados à Coreia do Norte, com forte foco em roubo de criptomoedas, invasões a instituições financeiras e inteligência estratégica.

Ao associar um prefixo como Typhoon ou Blizzard a um incidente, os profissionais de segurança obtêm imediatamente um contexto geográfico de alto nível sobre quem pode estar batendo à porta digital deles.

Identificando motivações pelo foco operacional

Além da geografia, a arquitetura de nomenclatura da Microsoft categoriza explicitamente o que motiva esses atacantes. O modificador secundário ou a designação de família específica destaca o principal objetivo do adversário:

• Tempest: reservado exclusivamente para sindicatos de cibercriminosos motivados por ganhos financeiros, como operadores de ransomware e grupos sofisticados de phishing.
• Flood: aplicado especificamente a operações de influência e campanhas coordenadas de desinformação, projetadas para alterar a percepção pública em vez de roubar dados.
• Tsunami: acompanha atores ofensivos do setor privado, ou seja, empresas comerciais que desenvolvem, empacotam e vendem armas cibernéticas para diversos clientes pagantes.

Essa distinção inteligente permite que as organizações diferenciem um Estado-nação que tenta discretamente desviar propriedade intelectual de uma equipe de ransomware motivada financeiramente, que quer bloquear estações de trabalho para obter um pagamento de extorsão.

A finalidade dos rótulos "Storm" na investigação inicial

Uma das fontes de confusão mais comuns para equipes que exploram inteligência de ameaças é encontrar designações como Storm-0558. Quando a Microsoft detecta atividade maliciosa claramente organizada e ativa, mas a identidade definitiva, o patrocínio estatal ou o apoio de longo prazo ao grupo ainda não foram confirmados, ela atribui um rótulo temporário.

A palavra Storm seguida de um número de quatro dígitos indica que a atividade é totalmente real e perigosa, mas a atribuição ainda está em investigação ativa. Assim que os pesquisadores de segurança da Microsoft reúnem evidências definitivas suficientes, como código sobreposto, infraestrutura compartilhada ou táticas, técnicas e procedimentos (TTPs) específicos, o grupo deixa o rótulo temporário Storm e passa a receber um nome formal e permanente de família meteorológica.

Como fazer a ponte com aliases do setor

Diferentes fornecedores de cibersegurança historicamente usaram nomes completamente distintos para os mesmos grupos de ameaça, o que gera grande confusão durante respostas a incidentes entre empresas. A Microsoft mapeia ativamente sua taxonomia interna de nomes para equivalentes do setor. Por exemplo, o grupo russo conhecido internamente pela Microsoft como Forest Blizzard é amplamente rastreado no setor como Fancy Bear ou APT28.

Esse cruzamento transparente de referências garante que, seja um analista lendo um briefing de ameaças da Microsoft, de um provedor de nuvem concorrente ou de um feed de inteligência de código aberto, ele consiga reconhecer imediatamente que os três relatórios descrevem exatamente o mesmo adversário. Isso elimina suposições e agiliza a colaboração entre vários fornecedores durante incidentes de segurança graves.

Conclusão

Entender as ameaças modernas de cibersegurança exige mais do que reagir a luzes piscando e logs de erro; exige compreender os adversários humanos que operam por trás da tela. Ao usar convenções de nomenclatura estruturadas, como Typhoon, Blizzard e Storm, a Microsoft ajuda as organizações a contextualizar alertas e a conectar indicadores técnicos isolados a campanhas criminosas e de Estados-nação mais amplas.

Para se aprofundar em DNS passivo, indicadores de comprometimento e em como aproveitar esses insights dentro da sua empresa, ouça o episódio completo do M365 FM Podcast, com uma análise completa e sem jargões das estratégias modernas de inteligência de ameaças.

Perguntas frequentes

O que significa o termo "Blizzard" na inteligência de ameaças da Microsoft?

Blizzard é um nome de família usado pela Microsoft para designar atores de ameaça e operações cibernéticas originados na Rússia ou alinhados a ela, geralmente com foco em espionagem e coleta de inteligência geopolítica.

Por que a Microsoft usa rótulos "Storm" em vez de nomes?

Rótulos Storm são designações temporárias atribuídas a clusters de ameaças recém-descobertos e ativos, quando a identidade subjacente ou o patrocínio estatal do grupo ainda está sendo investigado pelos pesquisadores de segurança.

Em que os grupos Tempest se diferenciam dos grupos Typhoon?

Grupos Tempest são criminosos motivados por ganhos financeiros, focados em extorsão, ransomware e lucro, enquanto grupos Typhoon são entidades patrocinadas ou alinhadas a Estados, que atuam principalmente a partir da China e se concentram em espionagem.

Outros fornecedores de segurança usam os nomes de atores de ameaça da Microsoft?

Outros fornecedores costumam usar suas próprias convenções de nomenclatura (como números APT ou nomes de animais), mas a Microsoft mapeia ativamente seus nomes baseados em clima para equivalentes do setor, como APT28 ou Fancy Bear, para garantir clareza entre fornecedores.