Francis Guibernau, Ingeniero de Investigación de Adversarios Senior en AttackIQ – Serie de Entrevistas

Francis Guibernau es un Ingeniero de Investigación de Adversarios Senior y miembro del Equipo de Investigación de Adversarios (ART) en AttackIQ. Francis realiza investigaciones y análisis de amenazas en profundidad para diseñar y crear emulaciones de adversarios muy sofisticadas y realistas. También coordina el proyecto de Inteligencia de Amenazas Cibernéticas (CTI), que se centra en investigar, analizar, rastrear y documentar a los adversarios, las familias de malware y los incidentes de ciberseguridad. Francis tiene una amplia experiencia en inteligencia de adversarios, que abarca tanto las amenazas de los estados nacionales como las de los cibercriminales, así como en la evaluación y gestión de vulnerabilidades, después de haber trabajado en Deloitte y BNP Paribas.

AttackIQ es una empresa de ciberseguridad que permite a las organizaciones ir más allá de las simples suposiciones sobre sus defensas y hacia una validación continua y basada en datos. Al emular las tácticas de los adversarios utilizando el modelo MITRE ATT&CK y ofreciendo pruebas automatizadas y seguras en producción en entornos en la nube, híbridos y locales, la empresa ayuda a detectar brechas de seguridad en los controles, procesos y personas, lo que permite a los líderes priorizar la remediación, justificar las inversiones y pasar de una respuesta cibernética reactiva a una resiliencia proactiva.

¿Cómo llegaste a formar parte del campo de la ciberseguridad, y por qué decidiste especializarte en Inteligencia de Amenazas Cibernéticas? ¿Cómo ha moldeado la CTI tu comprensión de cómo evolucionan las amenazas en ambos ecosistemas, el de los estados nacionales y el de los cibercriminales?

Mi camino hacia la ciberseguridad no estuvo planeado; sucedió por oportunidad más que por diseño. Comenzó cuando me uní a una organización de ciberseguridad madura, donde trabajé en dos áreas clave: Evaluación y Gestión de Vulnerabilidades, y Inteligencia de Amenazas Cibernéticas (CTI). A través de la Gestión de Vulnerabilidades, gané una perspectiva defensiva, asegurándome de que los sistemas estuvieran adecuadamente mantenidos, parcheados y resistentes a los ataques. Dentro de la CTI, adopté la mentalidad del atacante, analizando sus motivaciones, objetivos y capacidades. Es allí donde me familiaricé profundamente con el Marco de Trabajo MITRE ATT&CK, que utilicé para documentar las Tácticas, Técnicas y Procedimientos (TTP) de los adversarios y definir sus libros de jugadas operativas.

Esta experiencia dual me dio una comprensión integral de cómo interactúan los defensores y los atacantes dentro de un ecosistema en constante evolución. La CTI rápidamente se convirtió en una pasión personal. Su propósito estratégico de comprender cómo operan los adversarios, evolucionan e influyen entre sí me pareció casi predestinado. Estoy agradecido de seguir trabajando dentro de esta disciplina, observando y analizando la creciente complejidad del panorama de amenazas globales, donde los adversarios patrocinados por el estado y los cibercriminales, a pesar de sus motivaciones distintas, cada vez más se intersectan y moldean las operaciones entre sí.

Mirando hacia atrás, ¿qué proyecto o experiencia en particular marcó un punto de inflexión en tu carrera y moldeó tu perspectiva en ciberseguridad? 

Un momento crucial llegó cuando comencé a investigar y documentar las TTP que los adversarios y el malware emplean para detectar y evadir entornos controlados. Este esfuerzo se convirtió en la base para el proyecto de investigación “Conciencia del Entorno“, que realicé con mi colega y amiga Ayelen Torello, con quien ahora tengo la oportunidad de trabajar junto a ella en AttackIQ. Nuestra investigación se centró en catalogar los diferentes métodos que los adversarios emplean para reconocer y evitar entornos sandboxeados o virtualizados, lo que les permite permanecer sin ser detectados durante el análisis automatizado. El informe técnico resultante fue adoptado más tarde como la base para la técnica “T1497 – Evasión de Virtualización/Sandbox” en el Marco de Trabajo MITRE ATT&CK.

Durante esta investigación, presencié la evolución continua de los adversarios, con sus payloads volviéndose cada vez más sofisticados y su capacidad para evadir los sistemas de detección automatizados mejorando, lo que aumenta sus posibilidades de comprometer con éxito objetivos reales. Esta experiencia moldeó fundamentalmente mi comprensión de la adaptabilidad del adversario y el ciclo de innovación constante que define las amenazas modernas.

Desde que te uniste a AttackIQ en 2021 como Ingeniero de Investigación de Adversarios y lideraste el establecimiento de la iniciativa de Inteligencia de Amenazas Cibernéticas, ¿cómo han evolucionado tus responsabilidades, y cómo equilibras la coordinación del proyecto CTI, la investigación de amenazas estratégicas y el desarrollo de emulaciones de adversarios? 

Construir el programa de Inteligencia de Amenazas Cibernéticas en AttackIQ fue una tarea compleja. Necesitábamos lograr visibilidad a través de un amplio espectro de amenazas rápidamente. Como proveedor de servicios, nuestro enfoque no podía limitarse a un solo sector, región o nación. En cambio, necesitábamos una base de conocimientos que abarcara tanto a los adversarios como a las familias de malware, desde los patrocinados por el estado hasta los grupos de cibercriminales, y desde las familias de malware de commodity hasta las familias personalizadas. Una vez que se estableció la base, comenzamos a centrarnos en lo que llamo “Pesos Pesados”: entidades muy activas e impactantes que influyen en múltiples sectores, regiones y naciones. Este enfoque nos permite priorizar las amenazas más relevantes para nuestra base de clientes.

Dada la rápida evolución del panorama de amenazas, equilibrar la recopilación de inteligencia, el análisis de amenazas y la emulación de adversarios es inherentemente complejo. Cada tipo de emulación presenta desafíos distintos. Por un lado, las emulaciones de adversarios patrocinados por el estado suelen ser altamente sofisticadas, adaptadas a objetivos específicos, caracterizadas por tiempos de permanencia extendidos y motivadas políticamente. Reproducir su comportamiento requiere un análisis profundo, paciencia y precisión, lo que las hace intelectualmente desafiantes y gratificantes de emular. Por otro lado, las emulaciones de cibercriminales son rápidas y oportunistas. Estos adversarios introducen técnicas novedosas, operan con tiempos de permanencia más cortos y a menudo impactan múltiples sectores y regiones. Su uso de herramientas compartidas y de malware de commodity, con TTP superpuestas entre grupos, hace que sus libros de jugadas sean dinámicos y fascinantes de reproducir.

Lograr el equilibrio correcto es un proceso estratégico. Alineamos las prioridades de investigación y emulación con los requisitos de los clientes y los desarrollos globales, incluyendo las tensiones geopolíticas, las vulnerabilidades críticas recientemente divulgadas y los avisos de organizaciones internacionales como la Agencia de Ciberseguridad y Seguridad de la Infraestructura (CISA) y el Centro Nacional de Ciberseguridad (NCSC). En última instancia, este trabajo es un esfuerzo en equipo. El Equipo de Investigación de Adversarios (ART) está compuesto por individuos increíblemente talentosos cuyas contribuciones hacen que las emulaciones realistas y seguras sean posibles. La CTI es solo una parte del proceso; transformar la inteligencia en emulaciones controladas y auténticas es un desafío complejo que requiere colaboración, precisión y compromiso compartido.

Dentro del Equipo de Investigación de Adversarios de AttackIQ, ¿cómo se estructura y prioriza la investigación, y cuáles han sido los desafíos más significativos al traducir las perspectivas de inteligencia de amenazas en emulaciones de adversarios accionables?

Varios factores influyen en cómo priorizamos la investigación dentro del Equipo de Investigación de Adversarios de AttackIQ. Nuestro enfoque principal es emular a los adversarios que representan el mayor riesgo para el segmento más grande de nuestros clientes, asegurando que los recursos estén optimizados y concentrados hacia amenazas de impacto amplio antes de abordar amenazas muy específicas.

Este alcance incluye tanto a los adversarios como a las familias de malware observadas en la naturaleza. Continuamente rastreamos una amplia gama de entidades, con priorización impulsada por la necesidad operativa en lugar de directivas prescriptivas. Las amenazas emergentes a menudo provocan una rápida repriorización. Las tensiones geopolíticas en aumento, el aumento de informes sobre una vulnerabilidad crítica específica o los avisos concentrados de CERT elevan rápidamente los temas a la parte superior de la cola.

Uno de nuestros principales desafíos es mantener una priorización consistente y equilibrar los recursos para entregar emulaciones realistas y sofisticadas mientras se garantiza la eficiencia y la escalabilidad en los ciclos de desarrollo. Ponemos un fuerte énfasis en desarrollar comportamientos amplios y reutilizables. Al identificar las similitudes entre los adversarios y las familias de malware, nos centramos en replicar las técnicas y los procedimientos que consistentemente aparecen en múltiples libros de jugadas. Estos pueden adaptarse e integrarse en otras emulaciones, lo que permite una mayor flexibilidad y escalabilidad. Este enfoque nos permite priorizar los comportamientos con alta reutilización y relevancia operativa en lugar de invertir mucho en implementaciones específicas y limitadas. Un ritmo constante de producción, entregando emulaciones flexibles, dirigidas y significativas.

En tu investigación reciente sobre RomCom, ¿cuáles fueron los puntos de inflexión clave que influyeron en su transformación de una puerta trasera básica a una plataforma versátil que apoya tanto el espionaje como la extorsión financiera, y bajo qué circunstancias el malware pasa de ser una carga útil independiente a una plataforma completamente desarrollada? 

El caso de RomCom es particularmente fascinante porque apareció por primera vez en mayo de 2022 como una puerta trasera relativamente simple diseñada principalmente para el acceso remoto y la exfiltración de datos básica. El primer punto de inflexión importante ocurrió justo un mes después con el lanzamiento de RomCom 2.0, que introdujo mejoras sustanciales que reflejaban una herramienta más madura y orientada a la clandestinidad, optimizada para operaciones de espionaje y persistencia a largo plazo. Estas actualizaciones mejoraron significativamente las capacidades de recolección y exfiltración de datos, lo que indicaba un cambio claro hacia un uso más estratégico.

El siguiente punto de inflexión llegó con la introducción de RomCom 3.0 en febrero de 2023, que adoptó una arquitectura modular estructurada en tres componentes principales. Representó un salto sustancial en flexibilidad y funcionalidad, soportando 42 comandos distintos, muchos de los cuales eran variaciones sutiles de los demás, lo que destaca el enfoque del operador en la adaptabilidad y el refinamiento operativo.

Las versiones posteriores continuaron centrándose en refinar las capacidades y mejorar la resistencia operativa. Con el tiempo, RomCom evolucionó de una puerta trasera construida a medida a un malware de commodity utilizado por grupos de cibercriminales, que lo integraron en sus libros de jugadas para facilitar y diversificar operaciones criminales. Esta evolución se evidenció en la integración de RomCom con las operaciones de ransomware de Cuba, Industrial Spy y Underground, lo que indicaba claramente que se había incorporado a un ecosistema adversario más amplio como infraestructura compartida. Esta adopción generalizada inevitablemente atrajo la atención de adversarios alineados con el estado, particularmente aquellos alineados con los intereses rusos, que comenzaron a utilizar RomCom como una plataforma polivalente que apoya tanto el espionaje como las operaciones de influencia estratégica contra sus objetivos geopolíticos.

Esta convergencia confirmó nuestra evaluación de que los límites entre los cibercriminales y los adversarios patrocinados por el estado están cada vez más borrosos. La transición de una carga útil independiente a una plataforma completamente desarrollada ocurre precisamente en este punto de intersección, cuando comienza a ser utilizada para objetivos estratégicos y sofisticados que van más allá del oportunismo o el beneficio financiero. En ese momento, deja de servir a un propósito táctico único y, en cambio, permite múltiples objetivos operativos, a veces contradictorios. Esto sugiere que los operadores consideran la carga útil como una infraestructura reutilizable en lugar de un arma construida a medida.

Has observado cada vez más límites borrosos entre la actividad de los estados nacionales y los adversarios de cibercriminales. Desde tu perspectiva, ¿cuáles son los principales impulsores detrás de esta convergencia, y cómo deberían los defensores pensar de manera diferente al evaluar la atribución y la motivación en estos casos? 

La convergencia entre las operaciones de los estados nacionales y las de cibercriminales se debe principalmente a factores pragmáticos en ambos lados. Para los adversarios patrocinados por el estado, el objetivo es adquirir rápidamente capacidades que ya han sido validadas y probadas en el campo de batalla. Utilizar herramientas o infraestructura existentes les permite adquirir flexibilidad operativa sin dedicar recursos extensivos a desarrollar herramientas personalizadas desde cero. Si una carga útil es resistente, efectiva y disponible, ¿por qué reinventarla? Por otro lado, para los operadores de cibercriminales, el acceso a los recursos y la infraestructura de nivel estatal, incluida la inteligencia, los datos de destino y los canales de distribución protegidos, les permite escalar sus capacidades mientras reciben una financiación garantizada con un riesgo mínimo.

RomCom ejemplifica esta convergencia. Inicialmente, era un malware de commodity diseñado para facilitar operaciones de ransomware, pero más tarde se adoptó en actividades alineadas con los intereses estratégicos rusos, apuntando a instituciones gubernamentales ucranianas, personal militar, organizaciones humanitarias y entidades alineadas con la OTAN. Nuestra evaluación indica que RomCom pasó de ser una herramienta impulsada únicamente por el beneficio a una utilidad utilizada en operaciones de estado, apoyando tanto el espionaje como los objetivos de interrupción.

Esta evolución destaca un principio clave: independientemente de si el adversario está motivado financieramente o políticamente, el impacto en la víctima permanece el mismo. En este contexto, la defensa informada por las amenazas se vuelve esencial. Las organizaciones deben priorizar la validación de sus defensas y la resistencia contra comportamientos realistas y observados, en lugar de centrarse exclusivamente en la atribución o la motivación presunta.

¿Qué revela RomCom sobre la convergencia de las motivaciones financieras y geopolíticas entre los adversarios? En particular, ¿cómo interpretas la creciente tendencia de los grupos alineados con el estado a utilizar infraestructuras de cibercriminales como instrumentos de influencia o deniabilidad? 

RomCom demuestra la evolución de un grupo de cibercriminales que ha mantenido una consistencia operativa a largo plazo mientras expande su red de afiliaciones. A lo largo de su actividad, estableció conexiones claras con múltiples familias de ransomware, específicamente Cuba, Industrial Spy y Underground, reflejando una integración profunda dentro del ecosistema de cibercriminales. Con el tiempo, evolucionó de una puerta trasera construida a medida a una plataforma de malware de commodity utilizada por grupos de cibercriminales para facilitar operaciones criminales diversas. Esta evolución se evidenció en la integración de RomCom con las operaciones de ransomware de Cuba, Industrial Spy y Underground, lo que indicaba claramente que se había incorporado a un ecosistema adversario más amplio como infraestructura compartida. Esta adopción generalizada inevitablemente atrajo la atención de adversarios alineados con el estado, particularmente aquellos alineados con los intereses rusos, que comenzaron a utilizar RomCom como una plataforma polivalente que apoya tanto el espionaje como las operaciones de influencia estratégica contra sus objetivos geopolíticos.

RomCom también destaca un patrón más amplio de adversarios alineados con el estado que adoptan o reutilizan herramientas de cibercriminales. Estas herramientas son probadas, efectivas y sirven como habilitadores convenientes para objetivos estratégicos más amplios. Rusia remains un ejemplo principal: informes extensos detallan grupos criminales vinculados a Rusia que operan como extensiones de facto de las operaciones estatales o que son utilizados directamente para apoyarlas. Esto permite a los estados externalizar operaciones deniables, particularmente aquellas de naturaleza disruptiva o destructiva, a actores criminales, o absorber su herramientas y infraestructura. En última instancia, esta dinámica revela una relación mutuamente beneficiosa: los operadores de RomCom y sus afiliados ganan influencia y recompensas financieras, mientras que los estados obtienen acceso a activos capaces y deniables. En el paisaje de cibercriminales, la lealtad es transaccional, arraigada en la influencia y el beneficio.

Este modelo ofrece ventajas estratégicas claras, lo que explica por qué se está volviendo cada vez más común. Las asociaciones con el crimen proporcionan a los estados acceso y capacidad sin atribución directa, y la ambigüedad operativa resultante complica las respuestas diplomáticas y legales. Las familias de malware han pasado a ser efectivamente instrumentos de estado, complementando en lugar de reemplazar el espionaje tradicional a través de infraestructuras criminales que son deniables, escalables y autosuficientes.

El malware moderno a menudo no se limita a una sola industria o región. ¿Qué sugiere esto sobre las prioridades o limitaciones de los atacantes, y hay sectores o geografías que crees que son “próximas” para la expansión transversal? 

Mientras que algunos adversarios pueden autoimporsi limitaciones, muchos tratan la urgencia y las crisis como vectores de infección adicionales, acelerando las intrusiones y explotando defensas distraídas o tensas. La motivación influye en el objetivo, pero rara vez lo limita. Los grupos motivados financieramente priorizan objetivos con altos posibles pagos o dependencias operativas, como finanzas, procesadores de pagos y grandes empresas con requisitos estrictos de disponibilidad. Por otro lado, los grupos alineados con el estado se centran en sectores que avanzan en los objetivos geopolíticos, incluyendo el gobierno, la defensa y la infraestructura crítica. Sin embargo, la superposición entre estas motivaciones es cada vez más común.

Las tácticas de “spray-and-pray” y la comercialización persistirán. Los modelos de Ransomware como Servicio (RaaS) y las herramientas de commodity permiten a los adversarios motivados financieramente ampliar agresivamente sus conjuntos de objetivos. Cualquier servicio expuesto y débilmente defendido es potencialmente objetivo. La expansión geográfica sigue tanto la oportunidad como las brechas de madurez. Las regiones que experimentan una transformación digital rápida pero con una madurez cibernética limitada o capacidad de respuesta a incidentes son atractivas para el compromiso inicial y las operaciones de escalada. Por otro lado, los objetivos de alto valor en regiones bien defendidas a menudo se ven afectados a través de compromisos de la cadena de suministro o acceso subcontratado. Mirando hacia adelante, la expansión es probable en regiones adyacentes a conflictos geopolíticos activos, donde la recolección de inteligencia apoya los intereses estratégicos y la madurez defensiva aún está por detrás de la sofisticación del adversario.

Al crear emulaciones de adversarios realistas, ¿cuáles son los desafíos técnicos más difíciles que enfrentas? ¿Cómo validas que esas emulaciones son suficientemente representativas de las amenazas del mundo real, y hay comportamientos que siguen siendo especialmente difíciles de simular de manera confiable?

Uno de los desafíos técnicos más difíciles es lograr la fidelidad del comportamiento sin introducir riesgos operativos. Las emulaciones deben replicar los comportamientos del mundo real con precisión suficiente para validar los controles de detección y prevención, mientras permanecen lo suficientemente seguras como para ejecutarse en entornos de producción. Ese equilibrio es constante. Las implementaciones demasiado agresivas riesgos de desestabilizar los sistemas o producir falsos positivos/negativos peligrosos, mientras que las demasiado cautelosas pierden fidelidad y utilidad. Priorizamos emular los “puntos críticos” del adversario, los comportamientos críticos que determinan si una intrusión tiene éxito o fracasa, y donde la visibilidad y la respuesta defensiva importan más. Al centrar la fidelidad en estos comportamientos decisivos, las emulaciones entregan el mayor valor tanto para la cobertura de detección como para la validación de la resistencia.

Algunas técnicas están intencionalmente limitadas u omitidas porque plantean un riesgo inaceptable o no pueden emularse fielmente sin dañar el entorno. Si se implementa algo ligeramente mal, se está probando algo que el adversario nunca hace en realidad o se está desestabilizando el sistema que se intenta proteger. Otros desafíos surgen de comportamientos que dependen del contexto del entorno o requieren acceso autenticado. Los comportamientos en red también están limitados: por ejemplo, reproducimos patrones de protocolo y comportamientos de señalización de C2 sin conectarnos a infraestructura maliciosa.

Crear emulaciones realistas es, por lo tanto, un proceso de ingeniería iterativo: identificar, documentar, implementar, probar, validar y refinar. Cada iteración equilibra la fidelidad, la seguridad y la relevancia operativa para garantizar que las emulaciones sean tanto realistas como desplegables.

Mirando hacia adelante, tres a cinco años, ¿qué tendencias en la sofisticación del malware, la metodología de los atacantes o los ecosistemas de amenazas te parecen más preocupantes o intrigantes, y qué pasos fundamentales recomendarías para que las organizaciones comiencen su camino hacia la defensa informada por las amenazas y la emulación de adversarios?

Una de las tendencias más intrigantes y preocupantes es la creciente sofisticación de los ecosistemas de cibercriminales. En los últimos años, los actores de cibercriminales han expandido su influencia dramáticamente.

En años anteriores, el número de participantes era limitado, y su influencia era marginal en comparación. Hoy, cientos de entidades interconectadas coexisten y colaboran, cada una cumpliendo roles especializados. Esta interdependencia forma un ecosistema complejo y orientado a los negocios que se asemeja a los mercados legítimos en estructura y eficiencia. El ecosistema de ransomware ejemplifica esto perfectamente: decenas de familias activas coexisten, evolucionan y se suceden. Este cambio constante revela una red enmarañada de relaciones que es cada vez más difícil de desenredar.

Otra tendencia definitoria es la convergencia entre las operaciones estatales y criminales. No solo a nivel operativo, sino también en el desarrollo de infraestructuras y plataformas de malware compartidas. RomCom ejemplifica esta evolución. Pasó de ser un malware de commodity impulsado únicamente por el beneficio a una utilidad versátil utilizada en operaciones de estado, apoyando tanto el espionaje como las operaciones de influencia estratégica.

Para las organizaciones que están comenzando su camino hacia la defensa informada por las amenazas, el paso fundamental es adoptar el Marco de Trabajo MITRE ATT&CK como el lenguaje compartido para comprender y discutir el comportamiento del adversario. ATT&CK proporciona una taxonomía de comportamiento que permite a los defensores mapear las detecciones y los controles directamente a las técnicas de los atacantes en lugar de indicadores estáticos. Prioriza la detección de comportamiento sobre los enfoques basados en firmas. Los indicadores de compromiso cambian constantemente, pero las técnicas de los adversarios permanecen relativamente estables, un principio capturado en el marco de trabajo de la Pirámide del Dolor. Gracias por las respuestas detalladas; los lectores que deseen aprender más deben visitar AttackIQ.

Gracias por las respuestas detalladas, los lectores que deseen aprender más deben visitar AttackIQ.