Francis Guibernau, Senior Adversary Research Engineer ve firmě AttackIQ – Interview Series

Francis Guibernau je Senior Adversary Research Engineer a člen týmu Adversary Research Team (ART) ve firmě AttackIQ. Francis provádí hluboký výzkum hrozeb a analýzu za účelem navrhování a vytváření vysoce sofistikovaných a realistických emulací adversářů. Také koordinuje projekt Cyber Threat Intelligence (CTI), který se zaměřuje na výzkum, analýzu, sledování a dokumentaci adversářů, rodin malware a kybernetických incidentů. Francis má rozsáhlé zkušenosti v oblasti inteligence adversářů, zahrnující jak státní, tak eCrime hrozby, stejně jako v hodnocení a správě zranitelností, having previously pracoval ve firmách Deloitte a BNP Paribas.

AttackIQ je kybernetická bezpečnostní firma, která umožňuje organizacím přesáhnout pouhé předpoklady o svých obranných systémech a místo toho využívat kontinuální, datově podloženou validaci. Díky emulaci taktik adversářů pomocí modelu MITRE ATT&CK a nabídkou automatizovaného, produkčně bezpečného testování v cloudu, hybridních a místních prostředích, pomáhá firmě odhalit bezpečnostní mezery v kontrolách, procesech a lidech — umožňující leaderům priorizovat nápravu, odůvodňovat investice a přecházet z reaktivní kybernetické reakce na proaktivní odolnost.

Jak jste se stal součástí kybernetické bezpečnostní oblasti a proč jste se rozhodl specializovat na Cyber Threat Intelligence? Jak CTI ovlivnilo vaše pochopení toho, jak se hrozby vyvíjejí napříč státními a zločineckými ekosystémy?

Má cesta do kybernetické bezpečnosti nebyla plánovaná; stalo se to díky příležitosti spíše než designu. Začalo to, když jsem vstoupil do zavedené kybernetické bezpečnostní organizace, kde jsem pracoval na dvou klíčových oblastech: Hodnocení a správě zranitelností a Cyber Threat Intelligence (CTI). Díky správě zranitelností jsem získal perspektivu obránce — zajistil jsem, že systémy byly řádně udržovány, záplatovány a odolné proti útokům. V rámci CTI jsem přijal útočníkovu mentalitu, analyzoval jejich motivy, cíle a schopnosti. To je místo, kde jsem se hluboce seznámil s rámcem MITRE ATT&CK, který jsem použil k dokumentování taktik, technik a postupů (TTP) adversářů a definování jejich operačních playbooků.

Tato dvojí zkušenost mi poskytla komplexní pochopení toho, jak se obránci a útočníci vzájemně ovlivňují v neustále se vyvíjejícím ekosystému. CTI se rychle stal mou osobní vášní. Jeho strategickým účelem — pochopit, jak adversáři operují, evoluují a ovlivňují jeden druhého — mi připadal téměř předurčený. Jsem rád, že mohu pokračovat v práci v tomto oboru, sledovat a analyzovat rostoucí složitost globální hrozby, kde státní sponzorované a eCrime adversáři, navzdory svým odlišným motivacím, stále více se překrývají a ovlivňují navzájem.

Pohledem zpět, jaký konkrétní projekt nebo zkušenost označila zásadní změnu v vaší kariéře a ovlivnila vaše perspektivy v kybernetické bezpečnosti? 

Zásadní okamžik nastal, když jsem začal zkoumat a dokumentovat TTP, které adversáři a malware používají k detekci a vyhnutí se kontrolovaným prostředím. Tato snaha se stala základem pro “Environment Awareness,” výzkumný projekt, který jsem provedl se svou kolegyní a kamarádkou Ayelen Torello, se kterou mám nyní příležitost pracovat po boku ve firmě AttackIQ. Naše výzkumu se zaměřila na katalogizaci různých metod, které adversáři používají k rozpoznání a vyhnutí se sandboxovým nebo virtualizovaným prostředím, což jim umožňuje zůstat nedetekovanými během automatizované analýzy. Výsledná bílá kniha byla později přijata jako základ pro techniku “T1497 – Virtualization/Sandbox Evasion” v rámci MITRE ATT&CK.

Během tohoto vyšetřování jsem svědčil o kontinuální evoluci adversářů, s jejich payloady se stávaly stále sofistikovanějšími a jejich schopností vyhnout se automatizovaným detekčním systémům se zlepšovala, zvyšující jejich šance na úspěšné ohrožení skutečných cílů. Tato zkušenost fundamentálně ovlivnila mé pochopení adaptability adversářů a stálého inovačního cyklu, který definuje moderní hrozby.

Od doby, co jste v roce 2021 vstoupil do AttackIQ jako Adversary Research Engineer a vedl zavedení iniciativy Cyber Threat Intelligence, jak se vaše odpovědnosti vyvinuly a jak vyvažujete koordinaci projektu CTI, strategický výzkum hrozeb a vývoj emulací adversářů? 

Vytvoření programu Cyber Threat Intelligence (CTI) ve firmě AttackIQ byla složitá úloha. Potřebovali jsme dosáhnout viditelnosti napříč širokým spektrem hrozeb rychle. Jako poskytovatel služeb se naše pozornost nemohla omezit na jeden sektor, region nebo národ. Místo toho jsme potřebovali znalostní bázi, která zahrnuje jak adversáře, tak malware, od státních sponzorovaných skupin po eCrime skupiny a od komoditních až po custom-built rodin malware. Jakmile byla založena základna, začali jsme se zaměřovat na to, co nazývám “Heavyweights”: vysoce aktivní a dopadové entity, které ovlivňují několik sektorů, regionů a národů. Tento přístup nám umožňuje priorizovat hrozby, které jsou nejrelevantnější pro naši zákaznickou základnu.

Vzhledem k rychlému vývoji hrozby je vyvažování sběru inteligence, analýzy hrozeb a emulace adversářů inherentně složitým procesem. Každý typ emulace představuje odlišné výzvy. Na jedné straně jsou emulace státních sponzorovaných adversářů obvykle vysoce sofistikované, přizpůsobené specifickým cílům, charakterizované prodlouženými dobami setrvání a poháněné politickými motivy. Reprodukce jejich chování vyžaduje hlubokou analýzu, trpělivost a přesnost, což z nich činí intelektuálně náročné a odměňující emulace. Na druhé straně jsou emulace eCrime adversářů rychlé a oportunistické. Tyto adversáři zavádějí nové techniky, operují s kratšími dobami setrvání a často dopadají na několik sektorů a regionů. Jejich použití sdílených, off-the-shelf nástrojů a komoditního malware s překrývajícími se TTP napříč skupinami činí jejich playbooky dynamickými a fascinujícími pro reprodukci.

Dosažení správné rovnováhy je strategickým procesem. Synchronizujeme výzkumné a emulační priority se zákaznickými požadavky a globálními událostmi, včetně geopolitických napětí, nově zveřejněných kritických zranitelností a doporučení mezinárodních organizací, jako je Cybersecurity and Infrastructure Security Agency (CISA) a National Cyber Security Centre (NCSC). Nakonec je tato práce týmovým úsilím. Tým Adversary Research (ART) se skládá z neuvěřitelně talentovaných jedinců, jejichž příspěvky činí realistické a bezpečné emulace možné. CTI je pouze částí procesu; transformace inteligence do autentických, kontrolovaných emulací je složitou výzvou, která vyžaduje spolupráci, přesnost a sdílené závazky.

V rámci týmu Adversary Research ve firmě AttackIQ, jak je výzkum strukturován a prioritizován a jaké jsou nejvýznamnější výzvy při překladu poznatků z hrozeb do akčních emulací adversářů?

Několik faktorů ovlivňuje, jak priorizujeme výzkum v rámci týmu Adversary Research ve firmě AttackIQ. Naším primárním zaměřením je emulace adversářů, kteří představují největší riziko pro největší segment našich zákazníků, zajišťující, že jsou zdroje optimalizovány a soustředěny na hrozby s širokým dopadem, než se zaměřují na vysoce specifické hrozby.

Tento rozsah zahrnuje jak adversáře, tak rodiny malware pozorované v divočině. Kontinuálně sledujeme širokou škálu entit, s prioritizací poháněnou operační potřebou spíše než preskriptivními direktivami. Nové hrozby často vyvolávají rychlou reprioritizaci. Zvyšující se geopolitická napětí, zvýšené hlášení o specifické a kritické zranitelnosti nebo koncentrovaná CERT doporučení rychle zvyšují témata na vrchol fronty.

Jednou z našich primárních výzev je udržení konzistentní prioritizace a vyvážení zdrojů pro dodání realistických a sofistikovaných emulací, zajišťující efektivitu a škálovatelnost napříč vývojovými cykly. Klademe silný důraz na vývoj široce použitelného chování. Identifikací společných rysů napříč adversáři a rodinami malware se zaměřujeme na replikaci technik a postupů, které se pravidelně objevují napříč několika playbooks. Tyto mohou být poté adaptovány a integrovány do dalších emulací, umožňující větší flexibilitu a škálovatelnost. Tento přístup nám umožňuje priorizovat chování s vysokou opakovaností a operační relevancí spíše než investovat značně do úzkých, jednorázových implementací.

V rámci vašeho nedávného výzkumu RomCom, jaké byly klíčové inflekční body, které ovlivnily jeho transformaci z základní backdoor do všestranné platformy podporující jak špionáž, tak finanční vydírání, a za jakých okolností přechází malware z samostatného payloadu do plnohodnotné platformy? 

Případ RomCom je zvláště fascinující, protože se poprvé objevil v květnu 2022 jako relativně jednoduchá backdoor navržená primárně pro vzdálený přístup a základní exfiltraci dat. První hlavní inflekční bod nastal právě o měsíc později s vydáním RomCom 2.0, které představilo podstatné vylepšení, které odráželo více zralý, stealth-orientovaný toolset optimalizovaný pro operace špionáže a dlouhodobou persistenci. Tyto aktualizace výrazně zlepšily schopnosti sběru a exfiltrace dat, signalizující jasný posun směrem k více strategickému použití.

Následující inflekční bod nastal s představením RomCom 3.0 v únoru 2023, které přijalo modulární architekturu strukturovanou do tří hlavních komponent. Představovalo to podstatný skok v flexibilitě a funkčnosti, podporující 42 různých příkazů, z nichž mnohé byly jemnými variacemi jeden od druhého, zdůrazňujícími operátorovu orientaci na adaptabilitu a operační rafinaci.

Následující verze se zaměřily na rafinaci schopností a zlepšení operační odolnosti. V průběhu času se RomCom vyvinul z purpose-built backdoor do komoditního malware, který byl využíván eCrime skupinami, které jej integrovaly do svých playbooků, aby umožnily a usnadnily rozmanité kriminální operace. Tato evoluce byla zjevná z jeho integrace s operacemi ransomware Cuba, Industrial Spy a Underground, jasně ukazující, že se stal součástí širšího adversářského ekosystému jako sdílená infrastruktura. Tento široce přijímaný trend nevyhnutelně upoutal pozornost státních sponzorovaných adversářů, zejména těch spojených s ruskými zájmy, kteří začali využívat RomCom jako polyvalentní platformu podporující špionáž a strategické vlivové operace proti jejich geopolitickým cílům.

Tato konvergence potvrdila naše hodnocení, že hranice mezi eCrime a státními sponzorovanými adversáři jsou stále více rozostřené. Přechod z samostatného payloadu na plnohodnotnou platformu nastává přesně na tomto průsečíku, když začíná být využíván pro sofistikované, strategické a intangible cíle, které sahají za oportunismus nebo finanční zisk. V tomto stadiu přestává sloužit jedinému taktickému účelu a místo toho umožňuje několik, někdy protichůdných, operačních cílů. To naznačuje, že operátoři považují payload za opakovaně použitelnou infrastrukturu spíše než purpose-built zbraň.

Svědkem jste stále více rozostřených hranic mezi státními aktivitami a eCrime adversáři. Z vašeho pohledu, jaké jsou primární pohony za touto konvergencí a jak by se měli obránci lišit, když hodnotí atribuci a motivaci v těchto případech? 

Konvergence mezi státními sponzorovanými a eCrime operacemi je primárně poháněna pragmatickými faktory na obou stranách. Pro státní sponzorované adversáře je cílem rychle získat schopnosti, které byly ověřeny a prokázány v boji. Využívání existujícího toolingu nebo infrastruktury umožňuje jim získat operační flexibilitu bez toho, aby museli věnovat rozsáhlé zdroje na vývoj custom nástrojů od začátku. Pokud je payload odolný, efektivní a dostupný, proč ho znovu vynalézat? Naopak, pro eCrime operátory přístup k státním zdrojům a infrastruktuře, včetně inteligence, cílových dat a chráněných distribučních kanálů, umožňuje rychlé škálování schopností, zatímco získávají garantované finanční krytí s minimálním rizikem.

RomCom exemplifikuje tuto konvergenci. Původně to byla komoditní malware navržená pro facilitaci ransomware operací, která byla později přijata v aktivitách spojených s ruskými strategickými zájmy, cílením na ukrajinské vládní instituce, NATO-spojené entity a humanitární organizace. Naše hodnocení ukazuje, že RomCom přešel z čistě ziskem motivovaného nástroje na utilitu využité v státních operacích, podporující jak špionáž, tak disruptivní cíle.

Tato evoluce zdůrazňuje klíčový princip: bez ohledu na to, zda je adversář finančně nebo politicky motivován, dopad na oběť zůstává stejný. V tomto kontextu se stává threat-informed defense nezbytnou. Organizace by měly priorizovat validaci obran a odolnosti proti realistickým, pozorovaným chováním, spíše než se zaměřovat výhradně na atribuci nebo předpokládanou motivaci.

Co RomCom odhaluje o konvergenci finančních a geopolitických motivací mezi adversáři? Konkrétně, jak interpretujete rostoucí trend státních sponzorovaných skupin, které využívají eCrime infrastruktury jako nástroje vlivu nebo důvěryhodné omluvy? 

RomCom demonstruje evoluci kybernetické kriminální skupiny, která udržela dlouhodobou operační konzistenci, zatímco neustále rozšiřovala síť svých afiliací. Během své aktivity RomCom navázal jasné spojení s několika ransomware rodinami, konkrétně s rodinami Cuba, Industrial Spy a Underground, odrážející hlubokou integraci do eCrime ekosystému. V průběhu času se RomCom vyvinul z purpose-built backdoor do komoditního malware, který byl využíván eCrime skupinami, aby ermögnil a usnadnil rozmanité kriminální operace. Tato evoluce byla zjevná z jeho integrace s operacemi ransomware Cuba, Industrial Spy a Underground, jasně ukazující, že se stal součástí širšího adversářského ekosystému jako sdílená infrastruktura.

RomCom také zdůrazňuje širší vzorec státních sponzorovaných adversářů, kteří přijímají nebo repurpují eCrime tooling. Tyto nástroje jsou prokázané, efektivní a slouží jako vhodné enablers pro širší strategické cíle. Rusko zůstává primárním příkladem: rozsáhlé zprávy detailují ruské spojené kriminální skupiny, které operují jako de facto rozšíření státních operací nebo jsou přímo využívány k jejich podpoře. Tento dynamický vztah odhaluje vzájemně výhodný vztah: operátoři RomCom a jejich afiliace získávají vliv a finanční odměny, zatímco státy získávají přístup k schopným, důvěryhodným aktivům. V eCrime krajině je loajalita transakční, zakořeněná ve vlivu a zisku.

Tento model nabízí jasné strategické výhody, což je důvod, proč se stává stále více běžným. Kriminální partnerství poskytují státům přístup a kapacity bez přímé atribuce, a výsledná operační ambivalence komplikuje diplomatické a právní reakce. Malware rodiny se efektivními staly nástroji státních záležitostí, doplňujícími rather než nahrazujícími tradiční špionáž prostřednictvím kriminální infrastruktury, která je důvěryhodná, škálovatelná a samoudržitelná.

Moderní malware často nepůsobí pouze v jednom průmyslu nebo regionu. Co to naznačuje o prioritách nebo omezeních útočníků a jsou nějaké sektory nebo geografie, o kterých si myslíte, že jsou “další” pro跨-doménovou expanzi? 

Zatímco někteří adversáři si mohou sami uvalit omezení, mnozí považují naléhavost a krize za další infekční vektory, urychlující pronikání a využívající rozptýlené nebo napjaté obrany. Motivace ovlivňuje cílení, ale zřídka ho omezuje. Finančně motivované skupiny prioritizují cíle s vysokým potenciálem odměn nebo operačními závislostmi, jako jsou finance, platební procesory a velké podniky s přísnými požadavky na provoz. Naopak, státně sponzorovaní adversáři se soustředí na sektory, které podporují geopolitické cíle, včetně vlády, obrany a kritické infrastruktury. Přesto je stále více běžné, že se tyto motivace překrývají.

“Spray-and-pray” taktiky a komoditizace budou pokračovat. Ransomware-as-a-Service (RaaS) modely, komoditní tooling a automatizované skenování umožňují finančně motivovaným adversářům agresivně rozšiřovat své cílové sady. Jakékoli vystavené, slabě bráněné služby jsou potenciálně v dosahu. Geografická expanze následuje jak příležitost, tak mezery v zralosti. Regiony procházející rychlou digitální transformací, ale s omezenou kybernetickou zralostí nebo kapacitou reakce na incidenty, jsou atraktivní pro počáteční kompromitaci a škálování operací. Naopak, vysoké-hodnotové cíle v dobře bráněných regionech jsou často postiženy prostřednictvím kompromitace dodavatelského řetězce nebo outsourcovaných přístupů. Pohledem vpřed, expanze je pravděpodobná v regionech sousedících s aktivními geopolitickými konflikty, kde sběr inteligence podporuje strategické zájmy a obranná zralost stále zaostává za adversářskou sofistikovaností.

Když vytváříte realistické emulace adversářů, jaké jsou nejobtížnější technické výzvy, se kterými se setkáváte, a jak validujete, že tyto emulace jsou dostatečně reprezentativní pro reálné hrozby, a jsou nějaké chování, která zůstávají zvláště obtížná na simulaci spolehlivě?

Jednou z nejobtížnějších technických výzev je dosažení chování fidelity bez zavedení operačního rizika. Emulace musí replikovat reálná chování přesně enough, aby validační detekce a prevence kontrol, zatímco zůstávají dostatečně bezpečné pro běh v produkčních prostředích. To je konstantní obchod. Přespříliš agresivní implementace riskují destabilizaci systémů nebo produkci nebezpečných falešných pozitiv/negativ, zatímco příliš opatrné implementace ztrácejí fideliitu a utilitu. Prioritizujeme emulaci “chokepoints” adversářů, kritických chování, která určují, zda infiltrace uspěje nebo selže, a kde je obranná viditelnost a reakce nejvíce důležitá. Zaměřením se na fideliitu těchto rozhodujících chování poskytují emulace nejvyšší hodnotu pro pokrytí detekce a validaci odolnosti.

Některé techniky jsou záměrně omezeny nebo vynechány, protože představují nepřijatelné riziko nebo nemohou být věrně emulovány bez ohrožení prostředí. Pokud je implementace slightly nesprávná, testujete buď něco, co adversář ve skutečnosti nedělá, nebo destabilizujete systém, který se snažíte chránit. Další výzvy vznikají z chování, která závisí na kontextu prostředí nebo vyžadují autentizovaný přístup. Sítě chování jsou také omezeny: například reprodukujeme vzorce protokolů a signálů C2 bez připojení k malwarové infrastruktuře.

Vytvoření realistických emulací je proto iterativní inženýrský proces: identifikace, dokumentace, implementace, testování, validace a rafinace. Každá iterace vyvažuje fideliitu, bezpečnost a operační relevanci, aby zajistila, že emulace jsou jak realistické, tak nasaditelné.

Pohledem tři až pět let dopředu, jaké trendy v sofistikovanosti malware, metodách útočníků nebo hrozbách ekosystémů se vám jeví nejvíce znepokojivé nebo fascinující, a jaké základní kroky byste doporučili organizacím, které začínají svou cestu v threat-informed defense a emulaci adversářů?

Jedním z nejvíce fascinujících a znepokojivých trendů je rostoucí sofistikovanost kybernetických kriminálních ekosystémů. Za posledních deset let se eCrime aktéři dramaticky rozšířili své vlivy.

V raných letech byl počet účastníků omezen a jejich vliv byl relativně marginální. Dnes existují stovky propojených entit, které koexistují a spolupracují, každá plnící specializované role. Tento vzájemný vztah vytváří komplexní, business-orientovaný ekosystém, který se podobá legitimním trhům ve struktuře a efektivitě. Ransomware ekosystém tohle dokonalé ilustruje: desítky aktivních rodin koexistují, evoluují a nahrazují se. Tento neustálý pohyb odhaluje spleť vztahů, která se stává stále obtížnější rozplést.

Dalším definujícím trendem je konvergence mezi státními a kriminálními operacemi. Nejen na operační úrovni, ale také ve vývoji sdílené infrastruktury a malwarových platforem. RomCom exemplifikuje tuto evoluci. Přechod z čistě ziskem motivovaného komoditního nástroje na polyvalentní platformu, která podporuje jak špionáž, tak eCrime operace, demonstruje posun směrem k instrumentu státních záležitostí, který podporuje ruské inteligence cíle, zatímco si zachovává eCrime flexibilitu.

Pro organizace, které jsou novější v threat-informed defense, je základní krok přijetí rámce MITRE ATT&CK jako sdíleného jazyka pro pochopení a diskusi o chování adversářů. ATT&CK poskytuje behaviorální taxonomii, která umožňuje obráncům mapovat detekce a kontroly přímo na techniky útočníků, spíše než statické indikátory. Prioritizujte behaviorální detekci nad signature-based přístupy. Indikátory kompromitace se mění neustále, ale techniky adversářů zůstávají relativně stabilní, princip zachycený v rámci Pyramid of Pain. Prioritizujte behaviorální detekci nad signature-based přístupy. Indikátory kompromitace se mění neustále, ale techniky adversářů zůstávají relativně stabilní, princip zachycený v rámci Pyramid of Pain.

Děkuji za podrobné odpovědi, čtenáři, kteří si přejí se dozvědět více, by měli navštívit AttackIQ.