Francis Guibernau, Senior Adversary Research Engineer hos AttackIQ – Interview Serie

Francis Guibernau er en Senior Adversary Research Engineer og medlem af Adversary Research Team (ART) hos AttackIQ. Francis udfører dybdegående trusselforskning og -analyse for at designe og oprette meget sofistikerede og realistiske adversarie-emulationer. Han koordinerer også Cyber Threat Intelligence (CTI)-projektet, som fokuserer på at forskere, analysere, spore og dokumentere adversarie, malware-familier og cybersikkerhedsincidenser. Francis har omfattende erfaring med adversarie-intelligence, der omfatter både nationale trusler og eCrime-trusler, samt i sårbarheds vurdering og -styring, efter at have arbejdet hos Deloitte og BNP Paribas.

AttackIQ er et cybersikkerhedsfirma, der giver organisationer mulighed for at gå ud over blot antagelser om deres forsvar til kontinuerlig, data-dreven validering. Ved at emulere adversarie-taktikker ved hjælp af MITRE ATT&CK®-modellen og tilbyde automatiseret, produktionssikker testning på tværs af cloud-, hybrid- og on-premises-miljøer, hjælper virksomheden med at afsløre sikkerhedsgapper i kontroller, processer og mennesker – hvilket giver ledere mulighed for at prioritere afhjælpning, retfærdiggøre investeringer og skifte fra reaktiv cyber-svar til proaktiv modstandskraft.

Hvordan blev du en del af cybersikkerhedsfeltet, og hvorfor valgte du at specialisere dig i Cyber Threat Intelligence? Hvordan har CTI formet din forståelse af, hvordan trusler udvikler sig på tværs af både nationale og kriminelle økosystemer?

Min vej ind i cybersikkerhed var ikke planlagt; det skete ved en mulighed snarere end design. Det begyndte, da jeg sluttede mig til en moden cybersikkerhedsorganisation, hvor jeg arbejdede på to nøgleområder: Sårbarheds vurdering og -styring, og Cyber Threat Intelligence (CTI). Gennem Sårbarhedsstyring fik jeg en forsvarers perspektiv – sikrer, at systemer var ordentligt vedligeholdt, patched og robuste mod angreb. Inden for CTI antog jeg angriberens mindset, analyserede deres motiver, mål og kapaciteter. Dette er, hvor jeg blev dybt fortrolig med MITRE ATT&CK Framework, som jeg brugte til at dokumentere adversarie-taktikker, -teknikker og -procedurer (TTP’er) og definere deres operationelle playbooks.

Denne dobbelte erfaring gav mig en komprehensiv forståelse af, hvordan forsvarere og angribere interagerer inden for et konstant udviklende økosystem. CTI blev hurtigt en personlig passion. Dens strategiske formål at forstå, hvordan adversarie opererer, udvikler sig og påvirker hinanden, føltes næsten forudbestemt. Jeg er taknemlig for at kunne fortsætte med at arbejde inden for denne disciplin, observere og analysere den voksende kompleksitet af det globale trusselslandskab, hvor statsstøttede og eCrime-adversarie, på trods af deres forskellige motiver, stadig mere og mere overlapper og påvirker hinandens operationer.

Se tilbage, hvilket bestemt projekt eller oplevelse markerede et vendepunkt i din karriere og formede din perspektiv i cybersikkerhed? 

Et afgørende øjeblik kom, da jeg begyndte at forskere og dokumentere TTP’erne, som adversarie og malware anvender til at opdage og undgå kontrollerede miljøer. Dette blev grundlaget for “Environment Awareness“, et forskningsprojekt, jeg udførte med min kollega og ven Ayelen Torello, som jeg nu har mulighed for at arbejde sammen med hos AttackIQ. Vores forskning fokuserede på at katalogisere de forskellige metoder, som adversarie anvender til at genkende og undgå sandboxede eller virtualiserede miljøer, hvilket giver dem mulighed for at forblive usynlige under automatiseret analyse. Den resulterende whitepaper blev senere adopteret som grundlag for teknik “T1497 – Virtualization/Sandbox Evasion” i MITRE ATT&CK Framework.

Under denne undersøgelse oplevede jeg den konstante udvikling af adversarie, med deres payload blivende stadig mere sofistikeret og deres evne til at undgå automatiseret detektionssystemer forbedret, hvilket øger deres chancer for at lykkes med at kompromittere virkelige mål. Denne oplevelse formede fundamentalt min forståelse af adversarie-tilpasning og den konstante innovationscyklus, der definerer moderne trusler.

Siden du sluttede dig til AttackIQ i 2021 som en Adversary Research Engineer og ledede etableringen af Cyber Threat Intelligence-initiativet, hvordan er dine ansvar udviklet, og hvordan balancerer du koordinationen af CTI-projektet, strategisk trusselsforskning og udviklingen af adversarie-emulationer? 

At bygge Cyber Threat Intelligence (CTI)-programmet hos AttackIQ var en kompleks opgave. Vi havde brug for at opnå synlighed på tværs af et bredt spektrum af trusler hurtigt. Som en serviceudbyder kunne vores fokus ikke begrænses til en enkelt sektor, region eller nation. I stedet havde vi brug for en videnbas, der omfattede både adversarie og malware, fra statsstøttede til eCrime-grupper, og fra commodity til custom-byggede familier. Når grundlaget var etableret, begyndte vi at fokusere på, hvad jeg kalder “Heavyweights”: højt aktive og indflydelsesrige enheder, der påvirker multiple sektorer, regioner og nationer. Dette tillader os at prioritere trusler, der er mest relevante for vores kundebase.

Givet det hurtigt udviklende trusselslandskab er det en udfordring at balancere intelligenssamling, trusselsanalyse og adversarie-emulation. Hver emulationstype præsenterer distinkte udfordringer. På den ene side er nationale emulationer typisk meget sofistikerede, tilpasset specifikke mål, karakteriseret ved forlængede opholdstider og drevet af politiske motiver. At reproducere deres adfærd kræver dyb analyse, tålmodighed og præcision, hvilket gør dem intellektuelt udfordrende og belønnende at emulere. På den anden side er eCrime-emulationer hurtige og opportuniske. Disse adversarie introducerer nye teknikker, opererer med kortere opholdstider og påvirker ofte multiple sektorer og regioner. Deres brug af fælles, off-the-shelf-værktøjer og commodity-malware, med overlappende TTP’er på tværs af grupper, gør deres playbooks dynamiske og fascinerende at reproducere.

At finde den rette balance er en strategisk proces. Vi aligner forsknings- og emulation-prioriteter med kundekrav og globale udviklinger, herunder geopolitiske spændinger, nyligt offentliggjorte kritiske sårbarheder og råd fra internationale organisationer som Cybersecurity and Infrastructure Security Agency (CISA) og National Cyber Security Centre (NCSC). Til sidst er dette arbejde et team-indsats. Adversary Research Team (ART) består af utroligt talentfulde individer, hvis bidrag gør realistiske og sikre emulationer mulige. CTI er kun en del af processen; at omdanne intelligens til autentiske, kontrollerede emulationer er en kompleks udfordring, der kræver samarbejde, præcision og fælles engagement.

Inden for AttackIQ’s Adversary Research Team, hvordan er forskningen struktureret og prioriteret, og hvad har været de mest betydningsfulde udfordringer i at oversætte trusselsintelligens indsigt i handlebare adversarie-emulationer?

Flere faktorer påvirker, hvordan vi prioriterer forskning inden for AttackIQ’s Adversary Research Team. Vores primære fokus er på at emulere adversarie, der udgør den største risiko for den største del af vores kunder, hvilket sikrer, at ressourcerne er optimeret og koncentreret mod bredt indflydelsesrige trusler før meget specifikke.

Dette omfatter både adversarie og malware-familier, der observeres i det vilde. Vi sporer kontinuerligt en bred vifte af enheder, med prioritering drevet af operationel behov snarere end preskriptive direktiver. Nye trusler prompter ofte hurtig reprioritering. Stigende geopolitiske spændinger, øget rapportering om en specifik og kritisk sårbarhed eller koncentreret CERT-råd kan hurtigt elevations emner til toppen af køen.

En af vores primære udfordringer er at opretholde konstant prioritering og balancere ressourcer for at levere realistiske og sofistikerede emulationer, mens vi sikrer effektivitet og skalerbarhed på tværs af udviklingscykler. Vi lægger stærk vægt på at udvikle bredt, genbrugbart adfærd. Ved at identificere fællesskaber på tværs af adversarie og malware-familier fokuserer vi på at reproducere teknikker og procedurer, der konsekvent dukker op på tværs af multiple playbooks. Disse kan derefter tilpasses og integreres i andre emulationer, hvilket giver større fleksibilitet og skalerbarhed. Dette tillader os at prioritere adfærd med høj genbrug og operationel relevans snarere end at investere tungt i snævre, one-off-implementeringer.

I din seneste RomCom-forskning, hvad var de nøgleinfleksionspunkter, der påvirkede dens transformation fra en grundlæggende backdoor til en polyvalent platform, der understøtter både spionage og finansielle udnyttelser, og under hvilke omstændigheder går malware fra en enkeltstående payload til en fuldt udviklet platform? 

Tilfældet med RomCom er særligt fascinerende, da det først opstod i maj 2022 som en relativt simpel backdoor designet primært til fjernadgang og grundlæggende data-exfiltration. Den første store infleksionspunkt indtrådte blot en måned senere med udgivelsen af RomCom 2.0, som introducerede væsentlige forbedringer, der reflekterede en mere moden, stealth-orienteret værktøjskasse optimeret til spionage-operationer og langvarig overlevelse. Disse opdateringer forbedrede væsentligt dataindsamling og -exfiltration-kapaciteter, hvilket signalerede en tydelig skift mod en mere strategisk brugsform.

Den følgende infleksionspunkt kom med introduktionen af RomCom 3.0 i februar 2023, som antog en modulær arkitektur struktureret i tre kernekomponenter. Det repræsenterede et væsentligt spring i fleksibilitet og funktionalitet, der understøttede 42 distinkte kommandoer, mange af hvilke var subtile variationer af hinanden, hvilket understregede operatørens fokus på tilpasning og operationel finpudring.

Senere versioner fortsatte med at fokusere på at finpudse kapaciteter og forbedre operationel overlevelse. Over tid udviklede RomCom sig fra en purpose-bygget backdoor til en commodity-malware, der blev udnyttet af eCrime-grupper, som integrerede den i deres playbooks for at enable og facilitere diverse kriminelle operationer. Dette udvikling blev bevidnet af RomComs integration med Cuba, Industrial Spy og Underground-ransomware-operationer, hvilket tydeligt indikerede, at den var blevet integreret i et bredere adversarial-økosystem som fælles infrastruktur. Dette bredere udnyttelse tiltrak uundgåeligt opmærksomhed fra statsstøttede adversarie, især de, der var tilknyttet russiske interesser, som begyndte at udnytte RomCom som en polyvalent platform, der understøttede spionage og strategisk indflydelsesoperationer mod deres geopolitiske mål.

Denne konvergens bekræftede vores vurdering af, at grænserne mellem eCrime og nationale adversarie er stadig mere udvisket. Overgangen fra enkeltstående payload til fuldt udviklet platform sker præcis ved dette intersection, når den begynder at blive udnyttet til sofistikerede, strategiske og intangible formål, der udvider sig beyond opportunisme eller finansielle gevinster. På dette stadium ophører den med at tjene en enkelt taktisk formål og understøtter i stedet multiple, ofte modsatrettede, operationelle formål. Dette antyder, at operatørerne betragter payloaden som en genbrugbar infrastruktur snarere end en purpose-bygget våben.

Du har observeret stadig mere udviskede grænser mellem nationale aktiviteter og eCrime-adversarie. Fra dit perspektiv, hvad er de primære drivkræfter bag denne konvergens, og hvordan bør forsvarere tænke anderledes, når de vurderer tilskrivning og motivation i disse tilfælde? 

Konvergens mellem nationale og eCrime-operationer er primært drevet af pragmatiske faktorer på begge sider. For statsstøttede adversarie er målet at hurtigt erhverve kapaciteter, der allerede er valideret og bevist i felten. At udnytte eksisterende værktøjer eller infrastruktur giver dem mulighed for at erhverve operationel fleksibilitet uden at dedikere omfattende ressourcer til at udvikle brugerdefinerede værktøjer fra scratch. Hvis en payload er robust, effektiv og tilgængelig, hvorfor genopfinde den? Omvendt giver adgang til statsstøttede ressourcer og infrastruktur, herunder efterretning, mål-data og beskyttede distributionskanaler, eCrime-operatørerne mulighed for at udvide deres kapaciteter, mens de modtager garanteret finansielle støtte med minimal risiko.

RomCom eksemplificerer denne konvergens. Initialt var det en commodity-malware designet til at facilitere ransomware-operationer, men det blev senere adopteret i aktiviteter, der var tilknyttet russiske strategiske interesser, rettet mod ukrainske regeringsinstitutioner, militærpersonale, humanitære organisationer og NATO-tilknyttede enheder. Vores vurdering indikerer, at RomCom gik fra en rent profitdrevet værktøj til en polyvalent platform, der understøttede både spionage og udnyttelsesoperationer. Dette udvikling understreger en væsentlig princip: uanset om adversarie er finansielt eller politisk motiveret, har det samme indvirkning på offeret.

I denne kontekst bliver trusselsinformert forsvar essentiel. Organisationer bør prioritere validering af deres forsvar og robusthed mod realistiske, observerede adfærdsmønstre snarere end at fokusere eksklusivt på tilskrivning eller formodet motivation.

Hvad afslører RomCom om konvergens af finansielle og geopolitiske motiver blandt adversarie? Specifikt, hvordan fortolker du den voksende trend af statsstøttede grupper, der udnytter eCrime-infrastruktur som instrumenter for indflydelse eller plausibel benægtelse? 

RomCom demonstrerer udviklingen af en cyberkriminel gruppe, der har opretholdt langvarig operationel konsistens, mens den stadig udvider sit netværk af tilknytninger. Gennem sin aktivitet etablerede den klare forbindelser til multiple ransomware-familier, specifikt Cuba, Industrial Spy og Underground, hvilket reflekterer en dyb integration i eCrime-økosystemet. Over tid udviklede RomCom sig fra en purpose-bygget backdoor til en commodity-malware, der blev udnyttet af eCrime-grupper til at enable og facilitere diverse kriminelle operationer. Dette udvikling blev bevidnet af RomComs integration med disse ransomware-operationer, hvilket tydeligt indikerede, at den var blevet integreret i et bredere adversarial-økosystem som fælles infrastruktur.

RomCom understreger også en bredere trend, hvor statsstøttede adversarie adopterer eller genbruger eCrime-værktøjer. Disse værktøjer er beviste, effektive og fungerer som praktiske facilitatorer for bredere strategiske mål. Rusland forbliver et primært eksempel: omfattende rapportering detaljerer russisk-tilknyttede kriminelle grupper, der opererer som de facto-udvidelser af statsoperationer eller bliver direkte udnyttet til at støtte dem. Dette giver stater mulighed for at outsource benægtelige operationer, især de af disruptiv eller destruktiv natur, til kriminelle aktører eller at absorbere deres værktøjer og infrastruktur. Til sidst afslører denne dynamik en gensidig fordelagtig relation: RomCom-operatørerne og deres tilknyttede enheder opnår indflydelse og finansielle gevinster, mens staterne opnår adgang til kapable, benægtelige aktiver.

Denne model tilbyder klare strategiske fordele, hvilket er hvorfor den bliver mere almindelig. Kriminelle partnerskaber giver stater adgang til kapaciteter uden direkte tilskrivning, og den resulterende operationelle tvetydighed komplicerer diplomatisk og juridisk respons. Malware-familier er effektivt blevet instrumenter for statskunst, der supplerer snarere end erstatter traditionel efterretning gennem kriminel infrastruktur, der er benægtelig, skalerbar og selvvedligeholdende.

Moderner malware forbliver ofte ikke begrænset til en enkelt industri eller region. Hvad antyder dette om angribernes prioriteter eller begrænsninger, og er der sektorer eller geografiske områder, du mener er “næste” for tværs-domæne-udvidelse? 

Selv om nogle adversarie kan selvimponere begrænsninger, behandler de fleste krise og hastighed som yderligere infektionsvektorer, hvilket accelererer indtrængninger og udnytter distraherede eller anstrengte forsvar. Motivation påvirker målretning, men begrænser det sjældent. Finansielt motiverede grupper prioriterer mål med høj potentiel afkast eller operationelle afhængigheder, såsom finans, betalingsprocessorer og store virksomheder med strenge krav til oprejst tid. Omvendt koncentrerer statsstøttede grupper sig om sektorer, der fremmer geopolitiske mål, herunder regering, forsvar og kritisk infrastruktur. Dog er overlap mellem disse motiver stadig mere almindelig.

“Spray-and-pray”-taktikker og kommodificering vil fortsætte. Ransomware-as-a-Service (RaaS)-modeller, commodity-værktøjer og automatiseret scanning giver finansielt motiverede adversarie mulighed for at udvide deres målsæt aggressivt. Ethvert eksponeret, svagt forsvarligt service er potentielt i scope. Geografisk udvidelse følger både mulighed og modningsgapper. Regioner, der undergår hurtig digital transformation, men med begrænsede cybersikkerheds- og incidentrespons-kapaciteter, er attraktive for initial kompromittering og skaleringsoperationer. Omvendt er højt værdifulde mål i velbeskyttede regioner ofte ramt gennem supply-chain-kompromittering eller outsourced adgang.

Når man skaber realistiske adversarie-emulationer, hvad er de største tekniske udfordringer, du møder? Hvordan validerer du, at disse emulationer er tilstrækkeligt repræsentative for virkelige trusler, og er der adfærd, der forbliver særligt svær at simulere pålideligt?

En af de største tekniske udfordringer er at opnå adfærds-trofasthed uden at introducere operationel risiko. Emulationer må reproducere virkelige adfærdsmønstre præcist nok til at validerer detektion og forebyggelse, mens de forbliver sikre nok til at køre i produktionsmiljøer. Denne afvejning er konstant. For aggressivt implementeret risikerer man at destabilisere systemer eller producere farlige falske positiver/negativer, mens for forsigtige implementeringer mister man trofasthed og nytte. Vi prioriterer at emulere adversariens “chokepoints“, de kritiske adfærd, der bestemmer, om en indtrængning lykkes eller ej, og hvor defensiv synlighed og respons matter mest. Ved at fokusere trofasthed på disse afgørende adfærd giver emulationer den højeste værdi for både detektionsdækning og robusthedsvalidering.

Nogle teknikker er bevidst begrænsede eller udeladt, da de udgør en uacceptabel risiko eller ikke kan genskabes trofast uden at skade miljøet. Hvis man får en implementation lidt galt, tester man enten noget, som adversarie aldrig faktisk gør, eller destabiliserer man systemet, man forsøger at beskytte. Andre udfordringer opstår fra adfærd, der afhænger af miljøkontekst eller kræver autentificeret adgang. Netværksadfærd er også begrænset: for eksempel reproducerer vi protokolløn og beaconing-adfærd for C2 uden at tilslutte os til ondsindet infrastruktur.

At skabe realistiske emulationer er derfor en iterativ ingeniørproces: identificer, dokumenter, implementer, test, valider og finpudse. Hver iteration balancerer trofasthed, sikkerhed og operationel relevans for at sikre, at emulationer er både realistiske og deployable.

I de næste tre til fem år, hvad trends i malware-sophistication, angriber-metodologi eller trussels-økosystemer finder du mest bekymrende eller fascinerende, og hvad grundlæggende skridt ville du anbefale for organisationer, der starter deres rejse i trusselsinformert forsvar og adversarie-emulation?

En af de mest fascinerende og bekymrende trends er den øgede sophistication af cyberkriminelle økosystemer. Over de seneste ti år er eCrime-aktører dramatisk udvidet deres indflydelse.

I tidligere år var antallet af deltagere begrænset, og deres indflydelse var relativt marginal. I dag coeksisterer hundredvis af interne enheder, hver med specialiserede roller. Denne interafhængighed danner et komplekst, business-orienteret økosystem, der spejler legitime markeder i struktur og effektivitet. Ransomware-økosystemet eksemplificerer dette perfekt: dusinvis af aktive familier coeksisterer, udvikler sig og afløser hinanden. Denne konstante omskiftning afslører en indviklet netværk af relationer, der bliver stadig mere svær at udrede.

En anden definerende trend er konvergens mellem stats- og kriminelle operationer. Ikke kun på operationelt niveau, men også i udviklingen af fælles infrastruktur og malware-platforme. RomCom eksemplificerer denne udvikling. Det udviklede sig fra en rent profitdrevet commodity til en polyvalent platform, der blev udnyttet i statsstøttede operationer. Dets målretning af regeringsinstitutioner, militærpersonale, humanitære organisationer og NATO-tilknyttede enheder demonstrerer en skiftning mod et instrument for statskunst, der understøtter russiske efterretningsmål, mens det stadig opretholder sin eCrime-fleksibilitet.

For organisationer, der er nye i trusselsinformert forsvar, er det grundlæggende skridt at antage MITRE ATT&CK Framework som det fælles sprog for at forstå og diskutere adversarie-adfærd. ATT&CK giver en adfærds-taxonomi, der giver forsvarere mulighed for at kortlægge detektion og kontroller direkte til angriber-teknikker snarere end statiske indikatorer. Prioriter adfærds-detektion over signature-baserede tilgange. Indikatorer for kompromittering ændrer sig konstant, men adversarie-teknikker forbliver relativt stabile, en princip, der er fanget i Pyramid of Pain-framework.

Tak for de detaljerede svar, læsere, der ønsker at lære mere, skal besøge AttackIQ.