Google、サイバー脅威アクターの命名規則を変更

Google、サイバー脅威アクターの命名規則を変更

Help Net Security – July 27, 2026

Google脅威インテリジェンスグループ（GTIG）は、追跡する脅威アクターの命名システムを一新した。これはMandiantとGoogleのThreat Analysis Group（TAG）の統合を受け、以前から個別に構築されてきた2つの命名規則を整理する動きとされている。

これまではMandiantとTAGがそれぞれ脅威アクターを名付けていたため、「APT1」のような連番形式の識別子と、独自に考案された名称が使われていた。GTIGによると、この状況は防御側が各グループを識別することを困難にしていたという。

新たなシステムでは、追跡対象となるすべての脅威アクターに2語のコードネームが割り当てられる。最初の語句は特定のグループを識別するもので、すでに名前が付けられている場合はそれをそのまま使用。名前がなければランダムに生成された単語を使い、その後にアナリストがレビューを行う。

次の語句は脅威アクターのカテゴリーを識別するものとなり、推定される国家への帰属、犯罪の動機、あるいはその他の活動タイプなどが反映される。新システムでは以下のカテゴリー名が使われるそうだ。

• 中国関連グループ：CASTLE
• イラン関連グループ：ION
• 北朝鮮関連グループ：NEPTUNE
• ロシア関連グループ：RELIC
• サイバー犯罪グループ：COMET

例えば、長らく「Sandworm」や「APT44」として知られてきたロシア関連グループには、新たに「SANDWORM RELIC」のコードネームが与えられた。1語目にはアナリストに馴染みのある識別子が使われ、2語目でこのグループがロシア関連であることを読み取れるようになっている。

なお、既存の名称が削除されることはなく、MITRE ATT&CKや各セキュリティベンダーで使われている別名と並び、Google Threat Intelligenceプラットフォーム上で引き続き検索できるとのこと。調査の初期段階にある脅威クラスターについては、今後も「UNC」（未分類）が使われるようだ。

マルウェア「MedusaHVNC」　検出回避にWindowsの「隠しデスクトップ」を利用

SecurityWeek – July 27, 2026

Windowsの諸機能を使って作成した「隠しデスクトップ」上で正規ブラウザを起動し、侵害システムへの永続的かつ密かなリモートアクセスを可能にするマルウェア「MedusaHVNC」について、SecurityWeekが警鐘を鳴らしている。

MedusaHVNCはマルウェア・アズ・ア・サービス（MaaS）形式のリモートアクセス型トロイの木馬（RAT）で、専用サイトやTelegramチャンネルを通じて宣伝・販売されている模様。米サイバーセキュリティ企業BlackFogの分析によると、同マルウェアにはHVNC（Hidden Virtual Network Computing）モジュールが搭載され、別の非表示デスクトップ上でChrome、Edge、Firefoxの中から任意のブラウザを起動できるという。

また、画面やウィンドウのキャプチャには「BitBlt」「EnumWindows」「PrintWindow」など正規のWindows機能が利用され、擬似的な入力と操作には「SendInput」や「SetWindowsHookExW」を使用。クリップボード機能の「OpenClipboard」「GetClipboardData」「SetClipboardData」なども、セッション内外で情報をやり取りする手段として使われているようだ。

このマルウェアは隠されたデスクトップ上で動作するため、ユーザーにはその動きが見えないことになる。現時点で唯一有効な対策としては、予期せぬデータ流出を検知することが挙げられた。