Francis Guibernau, Senior Adversary Research Engineer στο AttackIQ – Σειρά Συνεντεύξεων

Francis Guibernau είναι Senior Adversary Research Engineer και μέλος της ομάδας Adversary Research Team (ART) στην AttackIQ. Ο Francis διεξάγει ενδελεχή έρευνα και ανάλυση απειλών για να σχεδιάσει και να δημιουργήσει εξαιρετικά εξελιγμένες και ρεαλιστικές προσομοιώσεις αντιπάλων. Επίσης συντονίζει το έργο Cyber Threat Intelligence (CTI), το οποίο εστιάζει στην έρευνα, ανάλυση, παρακολούθηση και τεκμηρίωση αντιπάλων, οικογενειών malware και περιστατικών κυβερνοασφάλειας. Ο Francis διαθέτει εκτενή εμπειρία στην πληροφορία αντιπάλων, καλύπτοντας τόσο απειλές κρατικών φορέων όσο και eCrime, καθώς και στην αξιολόγηση και διαχείριση ευπαθειών, έχοντας προηγουμένως εργαστεί στη Deloitte και BNP Paribas.

AttackIQ είναι μια εταιρεία κυβερνοασφάλειας που δίνει τη δυνατότητα στις οργανώσεις να ξεπεράσουν τις απλές υποθέσεις σχετικά με τις άμυνές τους και να προχωρήσουν σε συνεχή, δεδομενο‑κατευθυνόμενη επικύρωση. Προσομοιώνοντας τις τακτικές των αντιπάλων χρησιμοποιώντας το μοντέλο MITRE ATT&CK® και προσφέροντας αυτοματοποιημένες, ασφαλείς για παραγωγή δοκιμές σε περιβάλλοντα cloud, υβριδικά και on‑premises, η εταιρεία βοηθά στην ανάδειξη κενών ασφαλείας σε ελέγχους, διαδικασίες και ανθρώπους — επιτρέποντας στους ηγέτες να δώσουν προτεραιότητα στην αποκατάσταση, να δικαιολογήσουν επενδύσεις και να μεταβούν από αντιδραστική κυβερνο‑απόκριση σε προληπτική ανθεκτικότητα.

Πώς εντάχθηκες στον τομέα της κυβερνοασφάλειας και γιατί επέλεξες να ειδικευτείς στην Πληροφορία Κυβερνοαπειλών (Cyber Threat Intelligence); Πώς η CTI διαμόρφωσε την κατανόησή σου για το πώς εξελίσσονται οι απειλές τόσο σε κρατικά όσο και σε εγκληματικά οικοσυστήματα;

Η πορεία μου στην κυβερνοασφάλεια δεν ήταν προγραμματισμένη· συνέβη λόγω ευκαιρίας παρά σχεδίου. Ξεκίνησε όταν εντάχθηκα σε έναν ώριμο οργανισμό κυβερνοασφάλειας, όπου εργάστηκα σε δύο βασικούς τομείς: Αξιολόγηση και Διαχείριση Ευπαθειών, και Πληροφορία Κυβερνοαπειλών (CTI). Μέσω της Διαχείρισης Ευπαθειών, απέκτησα την προοπτική του αμυντικού — διασφαλίζοντας ότι τα συστήματα συντηρούνται σωστά, ενημερώνονται και είναι ανθεκτικά σε επιθέσεις. Στο CTI, υιοθέτησα τη νοοτροπία του επιτιθέμενου, αναλύοντας τα κίνητρα, τους στόχους και τις δυνατότητές τους. Εδώ γνώρισα εις βάθος το Πλαίσιο MITRE ATT&CK, το οποίο χρησιμοποίησα για να τεκμηριώσω τις Τακτικές, τις Τεχνικές και τις Διαδικασίες (TTPs) των αντιπάλων και να ορίσω τα επιχειρησιακά τους playbooks.

Αυτή η διπλή εμπειρία μου έδωσε μια ολοκληρωμένη κατανόηση του πώς αμυντικοί και επιτιθέμενοι αλληλεπιδρούν μέσα σε ένα συνεχώς εξελισσόμενο οικοσύστημα. Η CTI έγινε γρήγορα προσωπικό πάθος. Ο στρατηγικός της σκοπός να κατανοήσει πώς λειτουργούν, εξελίσσονται και επηρεάζουν ο ένας τον άλλο οι αντιπάλοι φαινόταν σχεδόν προορισμένος. Είμαι ευγνώμων που συνεχίζω να εργάζομαι σε αυτόν τον τομέα, παρατηρώντας και αναλύοντας την αυξανόμενη πολυπλοκότητα του παγκόσμιου τοπίου απειλών, όπου οι κρατικοί και eCrime αντιπάλοι, παρά τις διαφορετικές τους κίνητρα, διασταυρώνονται όλο και περισσότερο και διαμορφώνουν τις λειτουργίες του ενός τον άλλο.

Κοιτάζοντας πίσω, ποιο συγκεκριμένο έργο ή εμπειρία σηματοδότησε ένα σημείο καμπής στην καριέρα σου και διαμόρφωσε την προοπτική σου στην κυβερνοασφάλεια; 

Μια καθοριστική στιγμή ήρθε όταν άρχισα να ερευνώ και να τεκμηριώνω τις TTPs που χρησιμοποιούν οι αντίπαλοι και το malware για να ανιχνεύσουν και να αποφύγουν ελεγχόμενα περιβάλλοντα. Αυτή η προσπάθεια έγινε η βάση για “Environment Awareness,” ένα ερευνητικό έργο που πραγματοποίησα με τη συνεργάτιδα και φίλη μου Ayelen Torello, με την οποία τώρα έχω την ευκαιρία να συνεργάζομαι στην AttackIQ. Η έρευνά μας επικεντρώθηκε στην καταγραφή των διαφορετικών μεθόδων που χρησιμοποιούν οι αντίπαλοι για να αναγνωρίσουν και να αποφύγουν περιβάλλοντα sandbox ή εικονικοποιημένα, επιτρέποντάς τους να παραμένουν αόρατοι κατά την αυτοματοποιημένη ανάλυση. Το προκύπτον λευκό βιβλίο υιοθετήθηκε αργότερα ως βάση για την τεχνική “T1497 – Virtualization/Sandbox Evasion” στο Πλαίσιο MITRE ATT&CK.

Κατά τη διάρκεια αυτής της έρευνας, παρατήρησα τη συνεχή εξέλιξη των αντιπάλων, με τα payload τους να γίνονται όλο και πιο εξελιγμένα και την ικανότητά τους να αποφεύγουν τα αυτοματοποιημένα συστήματα ανίχνευσης να βελτιώνεται, ενισχύοντας τις πιθανότητές τους να παραβιάσουν πραγματικούς στόχους. Αυτή η εμπειρία διαμόρφωσε θεμελιωδώς την κατανόησή μου για την προσαρμοστικότητα των αντιπάλων και τον συνεχές κύκλο καινοτομίας που ορίζει τις σύγχρονες απειλές.

Από τη στιγμή που εντάχθηκες στην AttackIQ το 2021 ως Μηχανικός Έρευνας Αντιπάλων και ηγήθηκες της δημιουργίας της πρωτοβουλίας Cyber Threat Intelligence, πώς έχουν εξελιχθεί οι ευθύνες σου και πώς ισορροπείς τον συντονισμό του έργου CTI, της στρατηγικής έρευνας απειλών και της ανάπτυξης προσομοιώσεων αντιπάλων; 

Η δημιουργία του προγράμματος Cyber Threat Intelligence (CTI) στην AttackIQ ήταν μια σύνθετη εργασία. Έπρεπε να αποκτήσουμε ορατότητα σε ένα ευρύ φάσμα απειλών γρήγορα. Ως πάροχος υπηρεσιών, η εστίασή μας δεν μπορούσε να περιοριστεί σε έναν μόνο τομέα, περιοχή ή χώρα. Αντίθετα, χρειάστηκε μια βάση γνώσεων που να περιλαμβάνει τόσο τους αντιπάλους, από κρατικά υποστηριζόμενες ομάδες έως ομάδες eCrime, όσο και το κακό λογισμικό, από εμπορικές έως προσαρμοσμένες οικογένειες. Μόλις θεμελιώθηκε η βάση, αρχίσαμε να εστιάζουμε σε ό,τι αποκαλώ «Heavyweights»: εξαιρετικά ενεργές και επιδραστικές οντότητες που επηρεάζουν πολλούς τομείς, περιοχές και έθνη. Αυτή η προσέγγιση μας επιτρέπει να δίνουμε προτεραιότητα στις απειλές που είναι πιο σχετικές με τη βάση πελατών μας.

Δεδομένου του γρήγορα εξελισσόμενου τοπίου απειλών, η εξισορρόπηση της συλλογής πληροφοριών, της ανάλυσης απειλών και της προσομοίωσης αντιπάλων είναι εγγενώς σύνθετη. Κάθε τύπος προσομοίωσης παρουσιάζει διαφορετικές προκλήσεις. Από τη μία πλευρά, οι προσομοιώσεις κρατικών αντιπάλων είναι συνήθως εξαιρετικά εξελιγμένες, προσαρμοσμένες σε συγκεκριμένους στόχους, χαρακτηρίζονται από παρατεταμένες χρονικές παραμονές και καθοδηγούνται από πολιτικά κίνητρα. Η αναπαραγωγή της συμπεριφοράς τους απαιτεί βαθιά ανάλυση, υπομονή και ακρίβεια, καθιστώντας τες πνευματικά απαιτητικές και ικανοποιητικές για προσομοίωση. Από την άλλη πλευρά, οι προσομοιώσεις eCrime είναι γρήγορες και ευκαιριακές. Αυτοί οι αντίπαλοι εισάγουν νέες τεχνικές, λειτουργούν με μικρότερες χρονικές παραμονές και συχνά επηρεάζουν πολλούς τομείς και περιοχές. Η χρήση από αυτούς κοινών, έτοιμων εργαλείων και εμπορικού κακόβουλου λογισμικού, με επικαλυπτόμενα TTPs μεταξύ ομάδων, καθιστά τα playbooks τους δυναμικά και συναρπαστικά για αναπαραγωγή.

Η επίτευξη της σωστής ισορροπίας είναι μια στρατηγική διαδικασία. Ευθυγραμμίζουμε τις προτεραιότητες έρευνας και προσομοίωσης με τις απαιτήσεις των πελατών και τις παγκόσμιες εξελίξεις, συμπεριλαμβανομένων των γεωπολιτικών εντάσεων, των πρόσφατα αποκαλυφθέντων κρίσιμων ευπαθειών και των συμβουλών από διεθνείς οργανισμούς όπως η Cybersecurity and Infrastructure Security Agency (CISA) και το National Cyber Security Centre (NCSC). Τελικά, αυτή η εργασία είναι ομαδική προσπάθεια. Η Ομάδα Έρευνας Αντιπάλων (ART) αποτελείται από εξαιρετικά ταλαντούχα άτομα των οποίων οι συνεισφορές καθιστούν δυνατές ρεαλιστικές και ασφαλείς προσομοιώσεις. Το CTI είναι μόνο ένα κομμάτι της διαδικασίας· η μετατροπή της πληροφοριών σε αυθεντικές, ελεγχόμενες προσομοιώσεις είναι μια σύνθετη πρόκληση που απαιτεί συνεργασία, ακρίβεια και κοινή δέσμευση.

Στο πλαίσιο της Ομάδας Έρευνας Αντιπάλων της AttackIQ, πώς δομείται και προτεραιοποιείται η έρευνα, και ποιες ήταν οι πιο σημαντικές προκλήσεις στη μετάφραση των πληροφοριών απειλών σε εφαρμόσιμες προσομοιώσεις αντιπάλων;

Πολλοί παράγοντες επηρεάζουν τον τρόπο με τον οποίο προτεραιοποιούμε την έρευνα στην Ομάδα Έρευνας Αντιπάλων της AttackIQ. Η κύρια εστίασή μας είναι στην προσομοίωση αντιπάλων που παρουσιάζουν τον μεγαλύτερο κίνδυνο για το μεγαλύτερο τμήμα των πελατών μας, διασφαλίζοντας ότι οι πόροι βελτιστοποιούνται και συγκεντρώνονται προς απειλές ευρείας επίπτωσης πριν αντιμετωπιστούν πολύ συγκεκριμένες.

Αυτό το πεδίο περιλαμβάνει τόσο τους αντιπάλους όσο και τις οικογένειες κακόβουλου λογισμικού που παρατηρούνται στο φυσικό περιβάλλον. Παρακολουθούμε συνεχώς ένα ευρύ φάσμα οντοτήτων, με την προτεραιότητα να καθοδηγείται από τις επιχειρησιακές ανάγκες και όχι από προδιαγεγραμμένες οδηγίες. Οι αναδυόμενες απειλές συχνά προκαλούν γρήγορη επαναπροτεραιοποίηση. Η κλιμακούμενη γεωπολιτική ένταση, η αυξημένη αναφορά σε μια συγκεκριμένη και κρίσιμη ευπάθεια ή οι συγκεντρωτικές συμβουλές του CERT ανεβάζουν γρήγορα τα θέματα στην κορυφή της λίστας.

Μία από τις κύριες προκλήσεις μας είναι η διατήρηση συνεπούς προτεραιοποίησης και η εξισορρόπηση των πόρων για την παροχή ρεαλιστικών και εξελιγμένων προσομοιώσεων, διασφαλίζοντας παράλληλα την αποδοτικότητα και την κλιμακωσιμότητα κατά τη διάρκεια των κύκλων ανάπτυξης. Δίνουμε ισχυρή έμφαση στην ανάπτυξη ευρέων, επαναχρησιμοποιήσιμων συμπεριφορών. Αναγνωρίζοντας τις ομοιότητες μεταξύ αντιπάλων και οικογενειών κακόβουλου λογισμικού, εστιάζουμε στην αναπαραγωγή τεχνικών και διαδικασιών που εμφανίζονται σταθερά σε πολλαπλά playbooks. Αυτά μπορούν στη συνέχεια να προσαρμοστούν και να ενσωματωθούν σε άλλες προσομοιώσεις, επιτρέποντας μεγαλύτερη ευελιξία και κλιμακωσιμότητα. Αυτή η προσέγγιση μας επιτρέπει να δίνουμε προτεραιότητα σε συμπεριφορές με υψηλή επαναχρησιμοποίηση και επιχειρησιακή σημασία, αντί να επενδύουμε βαριά σε στενά, μοναδικά υλοποιήσεις. σταθερός ρυθμός παραγωγής, παραδίδοντας ευέλικτες, στοχευμένες και ουσιαστικές προσομοιώσεις.

Στην πρόσφατη έρευνά σας για το RomCom, ποια ήταν τα κύρια σημεία καμπής που επηρέασαν τη μετατροπή του από ένα βασικό backdoor σε μια ευέλικτη πλατφόρμα που υποστηρίζει τόσο κατασκοπεία όσο και οικονομική εκβίαση, και υπό ποιες συνθήκες το κακόβουλο λογισμικό μεταβαίνει από ένα αυτόνομο payload σε μια πλήρως ανεπτυγμένη πλατφόρμα; 

Η περίπτωση του RomCom είναι ιδιαίτερα συναρπαστική επειδή εμφανίστηκε για πρώτη φορά τον Μάιο του 2022 ως ένα σχετικά απλό backdoor σχεδιασμένο κυρίως για απομακρυσμένη πρόσβαση και βασική εξαγωγή δεδομένων. Το πρώτο σημαντικό σημείο καμπής συνέβη μόλις ένα μήνα αργότερα με την κυκλοφορία του RomCom 2.0, το οποίο εισήγαγε σημαντικές βελτιώσεις που αντικατοπτρίζουν ένα πιο ώριμο, προσανατολισμένο στην αθωότητα σύνολο εργαλείων βελτιστοποιημένο για επιχειρήσεις κατασκοπείας και μακροπρόθεσμη παραμονή. Αυτές οι ενημερώσεις βελτίωσαν σημαντικά τις δυνατότητες συλλογής και εξαγωγής δεδομένων, υποδεικνύοντας μια σαφή μετατόπιση προς μια πιο στρατηγική περίπτωση χρήσης.

Το επόμενο σημείο καμπής ήρθε με την εισαγωγή του RomCom 3.0 τον Φεβρουάριο του 2023, το οποίο υιοθέτησε μια μονάδα αρχιτεκτονική δομημένη σε τρία βασικά συστατικά. Αντιπροσώπευε ένα σημαντικό άλμα στην ευελιξία και τη λειτουργικότητα, υποστηρίζοντας 42 διαφορετικές εντολές, πολλές από τις οποίες ήταν λεπτές παραλλαγές μεταξύ τους, υπογραμμίζοντας την εστίαση του χειριστή στην προσαρμοστικότητα και τη βελτίωση των επιχειρήσεων.

Οι επόμενες εκδόσεις συνέχισαν να εστιάζουν στη βελτίωση των δυνατοτήτων και στην ενίσχυση της επιχειρησιακής ανθεκτικότητας. Με την πάροδο του χρόνου, το RomCom εξελίχθηκε από ένα ειδικά σχεδιασμένο backdoor σε ένα εμπορευματικό κακόβουλο λογισμικό που αξιοποιείται από ομάδες eCrime, οι οποίες το ενσωμάτωσαν στα playbooks τους για να ενεργοποιήσουν και να διευκολύνουν διάφορες εγκληματικές επιχειρήσεις. Αυτή η εξέλιξη αποδείχθηκε από την ενσωμάτωση του RomCom στις επιχειρήσεις ransomware Cuba, Industrial Spy και Underground, υποδεικνύοντας σαφώς ότι είχε ενσωματωθεί σε ένα ευρύτερο οικοσύστημα αντιπάλων ως κοινή υποδομή. Αυτή η ευρεία υιοθέτηση προκάλεσε ακαριαία την προσοχή αντιπάλων ευθυγραμμισμένων με κράτη, ιδιαίτερα εκείνων που ευθυγραμμίζονται με ρωσικά συμφέροντα, οι οποίοι άρχισαν να αξιοποιούν το RomCom ως μια πολυλειτουργική πλατφόρμα που υποστηρίζει κατασκοπεία και στρατηγικές επιδράσεις ενάντια στους γεωπολιτικούς τους στόχους.

Αυτή η σύγκλιση επιβεβαίωσε την εκτίμησή μας ότι τα όρια μεταξύ eCrime και αντιπάλων κρατικών φορέων γίνονται όλο και πιο θολά. Η μετάβαση από αυτόνομο payload σε πλήρως ανεπτυγμένη πλατφόρμα συμβαίνει ακριβώς σε αυτό το σημείο τομής, όταν αρχίζει να αξιοποιείται για εξελιγμένους, στρατηγικούς και άυλους στόχους που υπερβαίνουν τον ευκαιριακό ή οικονομικό κέρδος. Σε αυτό το στάδιο, παύει να εξυπηρετεί έναν μόνο τακτικό σκοπό και αντίθετα επιτρέπει πολλαπλούς, μερικές φορές αντιφατικούς, επιχειρησιακούς στόχους. Αυτό υποδηλώνει ότι οι χειριστές βλέπουν το payload ως μια επαναχρησιμοποιήσιμη υποδομή αντί για ένα ειδικά σχεδιασμένο όπλο.

Έχετε παρατηρήσει όλο και πιο θολά όρια μεταξύ δραστηριότητας κρατικών φορέων και αντιπάλων eCrime. Από την οπτική σας, ποιοι είναι οι κύριοι παράγοντες πίσω από αυτή τη σύγκλιση, και πώς θα πρέπει οι υπερασπιστές να σκέφτονται διαφορετικά όταν αξιολογούν την απόδοση ευθυνών και το κίνητρο σε αυτές τις περιπτώσεις; 

Η σύγκλιση μεταξύ κρατικών-εθνικών και eCrime λειτουργιών καθοδηγείται κυρίως από πρακτικούς παράγοντες και από τις δύο πλευρές. Για τους κρατικά χορηγούμενους αντιπάλους, ο στόχος είναι η γρήγορη απόκτηση δυνατοτήτων που έχουν ήδη επικυρωθεί και αποδειχθεί στον πεδίο της μάχης. Η αξιοποίηση υπάρχοντων εργαλείων ή υποδομών τους επιτρέπει να αποκτήσουν επιχειρησιακή ευελιξία χωρίς να αφιερώνουν εκτεταμένους πόρους στην ανάπτυξη προσαρμοσμένων εργαλείων από το μηδέν. Αν ένα payload είναι ανθεκτικό, αποτελεσματικό και διαθέσιμο, γιατί να το εφεύρουμε ξανά; Αντίστροφα, για τους eCrime χειριστές, η πρόσβαση σε πόρους και υποδομές επιπέδου κράτους, συμπεριλαμβανομένης της νοημοσύνης, δεδομένων στόχευσης και προστατευμένων καναλιών διανομής, επιτρέπει την ταχεία κλιμάκωση των δυνατοτήτων ενώ λαμβάνουν εγγυημένη οικονομική υποστήριξη με ελάχιστο κίνδυνο.

Το RomCom αποτελεί παράδειγμα αυτής της σύγκλισης. Αρχικά ένα εμπορευματικό malware σχεδιασμένο για τη διευκόλυνση λειτουργιών ransomware, υιοθετήθηκε αργότερα σε δραστηριότητες ευθυγραμμισμένες με τα στρατηγικά συμφέροντα της Ρωσίας, στοχεύοντας σε ουκρανικά κυβερνητικά ιδρύματα, οντότητες ευθυγραμμισμένες με το NATO και ανθρωπιστικούς οργανισμούς. Η εκτίμησή μας υποδεικνύει ότι το RomCom μετατράπηκε από ένα εργαλείο καθαρά κερδοσκοπικό σε μια χρηστική εφαρμογή που αξιοποιείται σε κρατικές λειτουργίες, υποστηρίζοντας τόσο αποστολές κατασκοπίας όσο και διαταραχής.

Αυτή η εξέλιξη αναδεικνύει μια βασική αρχή: ανεξάρτητα από το αν ο αντίπαλος είναι οικονομικά ή πολιτικά κίνητρο, η επίπτωση στο θύμα παραμένει η ίδια. Σε αυτό το πλαίσιο, η άμυνα βασισμένη σε απειλές γίνεται ουσιώδης. Οι οργανισμοί πρέπει να δίνουν προτεραιότητα στην επικύρωση των αμυντικών μέτρων και της ανθεκτικότητας έναντι ρεαλιστικών, παρατηρημένων συμπεριφορών, αντί να εστιάζουν αποκλειστικά στην απονομή ευθυνών ή στην υποτιθέμενη κίνητρο.

Τι αποκαλύπτει το RomCom σχετικά με τη σύγκλιση των οικονομικών και γεωπολιτικών κινήτρων μεταξύ των αντιπάλων; Συγκεκριμένα, πώς ερμηνεύετε την αυξανόμενη τάση των ομάδων ευθυγραμμισμένων με το κράτος να αξιοποιούν υποδομές eCrime ως εργαλεία επιρροής ή εφικτής άρνησης? 

Το RomCom δείχνει την εξέλιξη μιας ομάδας κυβερνοεγκληματιών που διατήρησε μακροπρόθεσμη επιχειρησιακή συνέπεια ενώ επεκτείνει σταθερά το δίκτυο των συνεργατών της. Κατά τη διάρκεια της δραστηριότητάς του, κατέστησε σαφείς συνδέσεις με πολλαπλές οικογένειες ransomware, συγκεκριμένα Cuba, Industrial Spy και Underground, αντανακλώντας βαθιά ενσωμάτωση στο οικοσύστημα eCrime. Με την πάροδο του χρόνου, μετατράπηκε από διευκολυντή διασπαστικών, εκβιαστικών δραστηριοτήτων σε πολυλειτουργική πλατφόρμα ικανή να υποστηρίξει γεωπολιτικές επιχειρήσεις επιρροής. Η συνεχής εστίασή του σε ουκρανικά κυβερνητικά ιδρύματα, στρατιωτικό προσωπικό, ανθρωπιστικούς οργανισμούς που βοηθούν πρόσφυγες και χώρες ευθυγραμμισμένες με το NATO αποδεικνύει επιχειρησιακή ευθυγράμμιση με τα στρατηγικά συμφέροντα της Ρωσίας σχετικά με τον πόλεμο στην Ουκρανία. Δεν πρόκειται για ευκαιριακό έγκλημα· αποτελεί σκόπιμη συλλογή πληροφοριών και μακροπρόθεσμες επιχειρήσεις πρόσβασης. Το ίδιο malware, οι μηχανισμοί παράδοσης και η επιχειρησιακή τεχνική τώρα υποστηρίζουν τόσο αποστολές κατασκοπίας όσο και δραστηριότητες ransomware.

Το RomCom επισημαίνει επίσης ένα ευρύτερο μοτίβο αντιπάλων ευθυγραμμισμένων με το κράτος που υιοθετούν ή επαναχρησιμοποιούν εργαλεία eCrime. Αυτά τα εργαλεία είναι αποδεδειγμένα, αποτελεσματικά και λειτουργούν ως βολικοί ενισχυτές για ευρύτερους στρατηγικούς στόχους. Η Ρωσία παραμένει κύριο παράδειγμα: εκτενείς αναφορές καταγράφουν ρωσικά συνδεδεμένες εγκληματικές ομάδες που λειτουργούν ως de facto επεκτάσεις κρατικών λειτουργιών ή που αξιοποιούνται άμεσα για την υποστήριξή τους. Αυτό επιτρέπει στα κράτη να εκχωρούν άρνητες επιχειρήσεις, ιδιαίτερα εκείνες διασπαστικές ή καταστροφικές, σε εγκληματίες, ή να απορροφούν τα εργαλεία και τις υποδομές τους. Τελικά, αυτή η δυναμική αποκαλύπτει μια αμοιβαία επωφελή σχέση: οι χειριστές του RomCom και οι συνεργάτες τους κερδίζουν επιρροή και οικονομικά οφέλη, ενώ τα κράτη αποκτούν πρόσβαση σε ικανά, άρνητα περιουσιακά στοιχεία. Στο τοπίο του eCrime, η αφοσίωση είναι συναλλακτική, βασισμένη στην επιρροή και το κέρδος.

Αυτό το μοντέλο προσφέρει σαφή στρατηγικά πλεονεκτήματα, γι’ αυτό γίνεται όλο και πιο κοινό. Οι εγκληματικές συνεργασίες παρέχουν στα κράτη πρόσβαση και δυνατότητα χωρίς άμεση απονομή ευθύνης, και η προκύπτουσα επιχειρησιακή αβεβαιότητα περιπλέκει τις διπλωματικές και νομικές αντιδράσεις. Οι οικογένειες κακόλογου έχουν αποτελεσματικά γίνει εργαλεία κρατικής πολιτικής, ενισχύοντας αντί να αντικαθιστούν την παραδοσιακή κατασκοπεία μέσω εγκληματικής υποδομής που είναι αμφισβητή, κλιμακώσιμη και αυτοσυντηρούμενη.

Το σύγχρονο κακόλογο συχνά δεν παραμένει περιορισμένο σε μία βιομηχανία ή περιοχή. Τι υποδηλώνει αυτό σχετικά με τις προτεραιότητες ή τους περιορισμούς των επιτιθέμενων, και υπάρχουν τομείς ή γεωγραφίες που θεωρείτε ότι είναι οι «επόμενοι» για επέκταση διατομεακής; 

Ενώ ορισμένοι αντιπάλους μπορεί να αυτοεπιβάλλουν περιορισμούς, πολλοί αντιμετωπίζουν την επείγουσα ανάγκη και τις κρίσεις ως πρόσθετους διαδρόμους μόλυνσης, επιταχύνοντας τις εισβολές και εκμεταλλευόμενοι αποσπασμένες ή υπερφορτωμένες άμυνες. Η κίνητρο επηρεάζει τη στόχευση αλλά σπάνια την περιορίζει. Οι οικονομικά κίνητοι ομάδες δίνουν προτεραιότητα σε στόχους με υψηλές πιθανές αποδόσεις ή λειτουργικές εξαρτήσεις, όπως η χρηματοδότηση, οι επεξεργαστές πληρωμών και μεγάλες επιχειρήσεις με αυστηρές απαιτήσεις διαθεσιμότητας. Αντίθετα, οι ομάδες ευθυγραμμισμένες με το κράτος συγκεντρώνονται σε τομείς που προωθούν γεωπολιτικούς στόχους, συμπεριλαμβανομένων της κυβέρνησης, της άμυνας και της κρίσιμης υποδομής. Ωστόσο, η επικάλυψη μεταξύ αυτών των κινήτρων γίνεται όλο και πιο συχνή.

Κατά τη δημιουργία ρεαλιστικών προσομοιώσεων αντιπάλων, ποια είναι τα πιο δύσκολα τεχνικά προβλήματα που αντιμετωπίζετε; Πώς επαληθεύετε ότι αυτές οι προσομοιώσεις είναι επαρκώς αντιπροσωπευτικές των απειλών του πραγματικού κόσμου, και υπάρχουν συμπεριφορές που παραμένουν ιδιαίτερα δύσκολο να προσομοιωθούν αξιόπιστα;

Ένα από τα πιο δύσκολα τεχνικά προβλήματα είναι η επίτευξη πιστότητας συμπεριφοράς χωρίς να εισάγεται επιχειρησιακό κίνδυνο. Οι προσομοιώσεις πρέπει να αναπαράγουν τις πραγματικές συμπεριφορές με τέτοια ακρίβεια ώστε να επαληθεύουν τους ελέγχους ανίχνευσης και πρόληψης, ενώ παραμένουν αρκετά ασφαλείς για λειτουργία σε περιβάλλον παραγωγής. Αυτή η ανταλλαγή είναι συνεχής. Οι υπερβολικά επιθετικές υλοποιήσεις διατρέχουν κίνδυνο αποσταθεροποίησης συστημάτων ή παραγωγής επικίνδυνων ψευδών θετικών/αρνητικών, ενώ οι υπερβολικά επιφυλακτικές χάνουν την πιστότητα και τη χρησιμότητα. Δίνουμε προτεραιότητα στην προσομοίωση των «chokepoints» του αντιπάλου, των κρίσιμων συμπεριφορών που καθορίζουν αν μια εισβολή θα πετύχει ή θα αποτύχει, και όπου η αμυντική ορατότητα και η ανταπόκριση έχουν τη μεγαλύτερη σημασία. Εστιάζοντας την πιστότητα σε αυτές τις αποφασιστικές συμπεριφορές, οι προσομοιώσεις παρέχουν τη μέγιστη αξία τόσο για την κάλυψη ανίχνευσης όσο και για την επαλήθευση ανθεκτικότητας.

Ορισμένες τεχνικές περιορίζονται ή παραλείπονται σκόπιμα επειδή ενέχουν απαράδεκτο κίνδυνο ή δεν μπορούν να προσομοιωθούν πιστά χωρίς να καταστρέψουν το περιβάλλον. Αν η υλοποίηση είναι ελαφρώς λανθασμένη, είτε δοκιμάζετε κάτι που ο αντίπαλος ποτέ δεν κάνει, είτε αποσταθεροποιείτε το σύστημα που προσπαθείτε να προστατέψετε. Άλλες προκλήσεις προκύπτουν από συμπεριφορές που εξαρτώνται από το περιβάλλον ή απαιτούν πιστοποιημένη πρόσβαση. Οι δικτυωμένες συμπεριφορές επίσης περιορίζονται: για παράδειγμα, αναπαράγουμε πρότυπα πρωτοκόλλου και συμπεριφορές σήμανσης για C2 χωρίς σύνδεση σε κακόβουλη υποδομή.

Η δημιουργία ρεαλιστικών προσομοιώσεων είναι επομένως μια επαναληπτική διαδικασία μηχανικής: αναγνώριση, τεκμηρίωση, υλοποίηση, δοκιμή, επικύρωση και βελτίωση. Κάθε επανάληψη εξισορροπεί την πιστότητα, την ασφάλεια και τη λειτουργική σχετικότητα ώστε οι προσομοιώσεις να είναι τόσο ρεαλιστικές όσο και εφαρμόσιμες.

Κοιτάζοντας τρία έως πέντε χρόνια μπροστά, ποιες τάσεις στην πολυπλοκότητα του κακόβουλου λογισμικού, τη μεθοδολογία των επιτιθέμενων ή τα οικοσυστήματα απειλών βρίσκετε πιο ανησυχητικές ή ενδιαφέρουσες, και ποια θεμελιώδη βήματα θα προτείνατε για οργανισμούς που ξεκινούν το ταξίδι τους στην άμυνα βασισμένη σε απειλές και την προσομοίωση αντιπάλων;

Μία από τις πιο ενδιαφέρουσες και ανησυχητικές τάσεις είναι η αυξανόμενη πολυπλοκότητα των οικοσυστημάτων κυβερνοεγκληματιών. Κατά την τελευταία δεκαετία, οι δράστες του eCrime έχουν επεκτείνει την επιρροή τους δραματικά.

Στα προηγούμενα χρόνια, ο αριθμός των συμμετεχόντων ήταν περιορισμένος και η επιρροή τους συγκριτικά μικρή. Σήμερα, εκατοντάδες διασυνδεδεμένες οντότητες συνυπάρχουν και συνεργάζονται, καθεμία εκπληρώνοντας εξειδικευμένους ρόλους. Αυτή η αλληλεξάρτηση δημιουργεί ένα σύνθετο, επιχειρηματικό οικοσύστημα που αντικατοπτρίζει τις νόμιμες αγορές σε δομή και αποδοτικότητα. Το οικοσύστημα του ransomware το αποδεικνύει τέλεια: δεκάδες ενεργές οικογένειες συνυπάρχουν, εξελίσσονται και αντικαθιστούν η μία την άλλη. Αυτή η συνεχής κίνηση αποκαλύπτει ένα πολύπλοκο ιστό σχέσεων που γίνεται όλο και πιο δύσκολο να ξετυλιχθεί.

Μία άλλη καθοριστική τάση είναι η σύγκλιση μεταξύ κρατικών και εγκληματικών επιχειρήσεων. Όχι μόνο σε επιχειρησιακό επίπεδο, αλλά και στην ανάπτυξη κοινής υποδομής και πλατφορμών κακόβουλου λογισμικού. Το RomCom ενσαρκώνει αυτή την εξέλιξη. Μετατράπηκε από ένα καθαρά κερδοσκοπικό προϊόν σε ένα ευέλικτο εργαλείο που αξιοποιείται σε επιχειρήσεις κρατών-εθνών. Η στόχευσή του σε κυβερνητικούς οργανισμούς, στρατιωτικό προσωπικό, ανθρωπιστικές οργανώσεις και οντότητες ευθυγραμμισμένες με το NATO δείχνει μια μετατόπιση προς ένα όργανο κρατικής πολιτικής, υποστηρίζοντας τους ρωσικούς στόχους νοημοσύνης ενώ διατηρεί την ευελιξία του eCrime.

Για οργανισμούς που είναι νέοι στην άμυνα βασισμένη σε απειλές, το θεμελιώδες βήμα είναι η υιοθέτηση του Πλαισίου MITRE ATT&CK ως κοινή γλώσσα για την κατανόηση και συζήτηση της συμπεριφοράς των αντιπάλων. Το ATT&CK παρέχει μια ταξινομία συμπεριφοράς που επιτρέπει στους αμυντικούς να αντιστοιχούν τις ανιχνεύσεις και τους ελέγχους άμεσα στις τεχνικές των επιτιθέμενων αντί για στατικούς δείκτες. Δώστε προτεραιότητα στην ανίχνευση βάσει συμπεριφοράς έναντι των προσεγγίσεων βασισμένων σε υπογραφές. Οι δείκτες παραβίασης αλλάζουν συνεχώς, αλλά οι τεχνικές των αντιπάλων παραμένουν σχετικά σταθερές, μια αρχή που αποτυπώνεται στο πλαίσιο Pyramid of Pain.

Σας ευχαριστούμε για τις λεπτομερείς απαντήσεις, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα θα πρέπει να επισκεφθούν AttackIQ.