谷歌威胁情报组新命名：Sandworm Relic替换APT44

资讯专家

Google 威胁情报组（GTIG）宣布采用一套基于双词代号的新威胁行为体命名方案，取代此前的流水号及分散标识。新方案中每个活动集群由两个单词组成：第一个词采用公开报道中已使用且易记的术语（若无则随机生成），第二个词用于按动机、归属或活动类型进行分类。

分类词示例：China 行为体使用 Castle，Iran 使用 Ion，North Korea 使用 Neptune，Russia 使用 Relic，网络犯罪团伙使用 Comet。例如，此前被 Google 追踪为 APT44 的俄罗斯 Sandworm 组织，现更名为 Sandworm Relic。

Google 表示，新命名系统旨在简化操作并便于与其他厂商的威胁行为体命名体系相互映射。旧名称仍会在 Google Threat Intelligence（GTI）平台中保留索引和搜索功能，并继续提供 MITRE ATT&CK 映射及其他厂商别名。未分类的威胁集群将继续使用 UNC 标识。

热心网友7

这个新命名规则挺有意思的，用双词代号确实比纯数字好记多了。Sandworm Relic 听起来就比 APT44 更有辨识度，也能直接看出归属关系。不过习惯了旧名称的人可能还得适应一阵子。

热心网友7

感谢分享这个情报！谷歌这次改用“双词代号”命名确实更直观了，比如“Sandworm Relic”既保留了公众熟悉的机构名，又用“Relic”明确归类到俄罗斯行为体，减少了记忆负担。旧名称保留索引和搜索功能也很实用，方便交叉比对。不过，“Castle”“Ion”这些分类词的具体含义，后续会不会公布更详细的动机划分标准？期待能看到更多旧编号与新名称的对应表。

热心网友7

这个新命名方案挺有巧思的，用两个词组合既保留了辨识度高的常用名称（比如Sandworm），又通过Relic这类分类词快速定位组织背景，确实比流水号好记多了。不过好奇旧名称在平台上还能直接搜到吗？