Francis Guibernau, Senior Adversary Research Engineer at AttackIQ – Haastattelu Sarja

Francis Guibernau on Senior Adversary Research Engineer ja jäsen Adversary Research Team (ART) AttackIQ:ssa. Francis suorittaa syvällisiä uhka-analyysejä ja -tutkimuksia suunnitellakseen ja luodakseen erittäin sofistikoituja ja realistisia vihollisemulaatioita. Hän myös koordinoi Cyber Threat Intelligence (CTI) -projektia, joka keskittyy tutkimaan, analysoimaan, seuraamaan ja dokumentoimaan vihollisia, malware-perheitä ja kyberuhkatilanteita. Francisilla on laaja kokemus vihollisintelligenssista, joka kattaa sekä valtioiden tukeman uhkan että eCrime-uhkat, sekä haavoittuvuuden arvioinnista ja hallinnasta, ollessaan aiemmin työskennellyt Deloittessa ja BNP Paribasissa.

AttackIQ on kyberTurvallisuusyhtiö, joka mahdollistaa organisaatioiden siirtymisen pelkästään oletuksiin heidän puolustustensa suhteen jatkuvaan, datavoittoinen validointiin. Emuloimalla vihollisen taktiikoita MITRE ATT&CK®-mallin avulla ja tarjoamalla automaattista, tuotantoon turvallista testausta pilvi-, hybrid- ja paikallisympäristöissä, yhtiö auttaa paljastamaan turvallisuusaukkoja valvontalaitteissa, prosesseissa ja ihmisissä – mahdollistaen johtajien priorisoida korjaustoimenpiteet, oikeuttaa investoinnit ja siirtyä reaktiivisesta kyberturvallisuudesta proaktiiviseen kestävyyteen.

Miten päädyit kyberturvallisuuden alalle, ja miksi valitsit erikoistumaan Cyber Threat Intelligenceen? Miten CTI on muovannut ymmärryksesi siitä, miten uhkat kehittyvät sekä valtioiden tukemissa että rikollisissa ekosysteemeissä?

Polkuni kyberturvallisuuteen ei ollut suunniteltu; se tapahtui mahdollisuuden kautta eikä suunnitelman mukaan. Se alkoi, kun liityin kypsään kyberturvallisuusorganisaatioon, jossa työskentelin kahdella tärkeällä alueella: Haavoittuvuuden Arvioinnissa ja Hallinnassa sekä Cyber Threat Intelligence (CTI):ssa. Haavoittuvuuden hallinnan kautta sain puolustajan näkökulman – varmistamalla, että järjestelmät olivat kunnossa, korjattu ja kestäviä hyökkäyksiä vastaan. CTI:ssä omaksuin hyökkääjän asenteen, analysoin heidän motivaatioitaan, tavoitteitaan ja kykyjään. Tässä ymmärsin syvällisesti MITRE ATT&CK -kehyksen, jonka käytin dokumentoimaan vihollisen taktiikoita, tekniikoita ja prosesseja (TTP) ja määrittämään heidän operatiiviset pelikirjansa.

Tämä kaksinkertainen kokemus antoi minulle kattavan ymmärryksen siitä, miten puolustajat ja hyökkääjät vuorovaikuttavat jatkuvasti kehittyvässä ekosysteemissä. CTI:stä tuli nopeasti henkilökohtainen intohimoni. Sen strateginen tarkoitus ymmärtää, miten viholliset toimivat, kehittyvät ja vaikuttavat toisiinsa, tuntui melkein ennalta määrätystä. Olen kiitollinen voidessani jatkaa työskentelyä tässä alalla, havainnoimalla ja analysoimalla kasvavaa monimutkaisuutta globaalissa uhkakuvassa, jossa valtioiden tukemat ja eCrime-viholliset, vaikka heillä on erilaiset motivaatiot, yhä enemmän leikkaavat ja muokkaavat toistensa operaatioita.

Mitä tiettyä projektia tai kokemusta voit mainita urasi käännekohdaksi, ja miten se muovasi näkökulmaasi kyberturvallisuuteen? 

Ratkaiseva hetki tuli, kun aloin tutkia ja dokumentoida TTP:t, joita viholliset ja malware käyttävät havaitsemaan ja välttämään kontrolloituja ympäristöjä. Tämä ponnahdus muodostui “Ympäristötietoisuuden” tutkimushankkeen perustaksi, jonka toteutin kollegani ja ystävänni Ayelen Torellon kanssa, jonka kanssa minulla on nyt mahdollisuus työskennellä AttackIQ:ssa. Tutkimuksemme keskittyi luettelointiin eri menetelmiä, joita viholliset käyttävät tunnistamaan ja välttämään sandbox- tai virtualisoiduissa ympäristöissä, jolloin he voivat pysyä havaitsemattomina automaattisen analyysin aikana. Tuloksena oleva whitepaper otettiin myöhemmin perustaksi tekniikalle “T1497 – Virtualization/Sandbox Evasion” MITRE ATT&CK -kehyksessä.

Tutkimuksen aikana todistin jatkuvasti vihollisten kehittymistä, jolloin heidän hyökkäyskuormansa tulivat yhä sofistikoituneemmiksi ja heidän kykynsä välttää automaattiset havaitsemisjärjestelmät parani, lisäten heidän onnistumismahdollisuuksiaan kompromittaa todellisia kohteita. Tämä kokemus muovasi perustavanlaatuisesti ymmärrykseni vihollisen sopeutumiskyvystä ja jatkuvaan innovaatiokykliin, joka määrittää moderneja uhkia.

Liamme liittyessäsi AttackIQ:hin vuonna 2021 Adversary Research Engineeriksi ja johtuessasi Cyber Threat Intelligence -aloitteen perustamista, miten vastuullasi ovat kehittyneet, ja miten tasapainotat CTI-projektin koordinoinnin, strategisen uhkatutkimuksen ja vihollisemulaatioiden kehittämisen? 

Rakentaa Cyber Threat Intelligence (CTI) -ohjelmaa AttackIQ:ssa oli monimutkainen tehtävä. Tarvitsimme nopeasti näkyvyyden laajaan uhka-aluetta. Palveluntarjoajana fokuksimme ei voinut rajoittua yhteen sektoriin, alueeseen tai valtioon. Sen sijaan tarvitsimme tietopohjan, joka kattoi sekä valtioiden tukemat viholliset että eCrime-ryhmät ja malwaren, aina kommoditeeteista custom-kohtaisiin perheisiin. Kun perusta oli luotu, aloimme keskittymään siihen, mitä kutsun “raskasliikenteeksi”: erittäin aktiivisiin ja vaikuttaviin yksiköihin, jotka vaikuttavat useisiin sektoreihin, alueisiin ja valtioihin. Tämä lähestymistapa mahdollistaa meille priorisoida uhkia, jotka ovat asiakkaidemme kannalta merkittävimpiä.

Nopeasti muuttuvassa uhkakuvassa CTI:n kerääminen, uhkatutkimus ja vihollisemulaatioiden tasapainottaminen on luonnostaan monimutkaista. Jokainen emulaatiotyyppi esittää erilaisia haasteita. Toisaalta valtioiden tukemien emulaatioiden on oltava yleensä erittäin sofistikoituja, räätälöityjä tiettyihin tavoitteisiin, ominaispiirteiltään pitkien oleskeluajojen ja poliittisesti motivoitujen. Niiden toimintatapojen jäljentäminen vaatii syvää analyysiä, kärsivällisyyttä ja tarkkuutta, mikä tekee niistä älyllisesti haastavia ja palkitsevia emuloita. Toisaalta eCrime-emulaatiot ovat nopeita ja mahdollisuuksien mukaisia. Nämä viholliset esittelevät uusia tekniikoita, toimivat lyhyemmillä oleskeluajoilla ja vaikuttavat useisiin sektoreihin ja alueisiin. Heidän käyttämänsä jaettujen, valmiiden työkalujen ja kommoditeettimalwaren käyttö, jossa on päällekkäisiä TTP:itä ryhmien välillä, tekee heidän pelikirjansa dynaamisiksi ja mielenkiintoisiksi jäljentää.

Oikean tasapainon löytäminen on strateginen prosessi. Priorisoimme tutkimuksen ja emulaatioiden kehittämisen asiakkaiden vaatimusten ja globaaleiden kehitysten mukaan, mukaan lukien geopolitiikka, uusien kriittisten haavoittuvuuksien julkaisu ja kansainvälisten organisaatioiden, kuten Cybersecurity and Infrastructure Security Agency (CISA) ja National Cyber Security Centre (NCSC), ohjeistukset. Lopulta tämä työ on tiimiponnistus. Adversary Research Team (ART) koostuu erittäin lahjakkaisista yksilöistä, joiden panokset tekevät realistisista ja turvallisista emulaatioista mahdollisia. CTI on vain yksi osa prosessia; muuttaa tiedustelutietoja aidosti kontrolloituiksi emulaatioiksi on monimutkainen haaste, joka vaatii yhteistyötä, tarkkuutta ja jaettua sitoutumista.

AttackIQ:n Adversary Research Teamissa, miten tutkimus on rakennettu ja priorisoitu, ja mitkä ovat olleet merkittävimpiä haasteita kääntää uhkatiedustelun oivalluksia toimiviksi vihollisemulaatioiksi?

Useat tekijät vaikuttavat siihen, miten priorisoimme tutkimusta AttackIQ:n Adversary Research Teamissa. Pääfokuksena on emuloida niitä vihollisia, jotka aiheuttavat suurimman riskin suurimmalle osalle asiakkaitamme, varmistamalla, että resurssit on optimoitu ja kohdistettu laajat vaikutukset uhkiin ennen kuin kohdistetaan hyvin spesifejä uhkia.

Tämä kattaa sekä viholliset että malware-perheet, joita havaitaan luonnossa. Jatkuvasti seuraamme laajan valikoiman entiteettejä, joissa priorisointi perustuu operatiiviseen tarpeeseen eikä preskriptiivisiin ohjeisiin. Uusien uhkien nopea ilmestyminen usein nopeuttaa nopean uudelleenpriorisoinnin. Kasvavat geopolitiikka, kriittisten haavoittuvuuksien lisääntyvä raportointi tai keskittyneet CERT-ohjeistukset nostavat nopeasti aiheet jonon eteen.

Yksi päähaasteistamme on ylläpitää johdonmukaista priorisointia ja tasapainoa resursseja toimittaaan realistisia ja sofistikoituja emulaatioita samalla, kun varmistetaan tehokkuus ja skaalautuvuus kehityskierroksissa. Panostamme vahvasti kehittämään laajoja, uudelleenkasattavissa olevia käyttäytymismalleja. Tunnistamalla yhteisiä piirteitä vihollisten ja malware-perheiden välillä, keskitymme jäljentämään tekniikoita ja prosesseja, jotka ilmenevät jatkuvasti useiden pelikirjojen ylitse. Nämä voidaan sitten sovittaa ja integroida muihin emulaatioihin, mahdollistaen suuremman joustavuuden ja skaalautuvuuden. Tämä lähestymistapa mahdollistaa priorisoida käyttäytymismalleja, joilla on korkea uudelleenkäytettävyys ja operatiivinen merkitys, eikä panostaa voimakkaasti kapeisiin, yksittäisiin toteutuksiin. Vakaan tuotantorytmin ylläpitäminen, toimittaaan joustavia, kohdennettuja ja merkityksellisiä emulaatioita.

Vuosien 2022 ja 2023 RomCom-tutkimuksessa, mitkä olivat avainkäännökset, jotka vaikuttivat sen muuttumiseen perustavanlaatuisesta backdoorista monipuoliseksi alustaksi, joka tukee sekä vakoilua että taloudellista kiristystä, ja minkälaisten olosuhteiden alla malware siirtyy erilliseksi kuormaksi täysimittaiseksi alustaksi? 

RomCom-tapaus on erityisen mielenkiintoinen, koska se ilmestyi aluksi toukokuussa 2022 suhteellisen yksinkertaisena backdoorina, joka oli suunniteltu etäkäyttöön ja perusdatan siirtoon. Ensimmäinen merkittävä käännös tapahtui vasta kuukauden kuluttua RomCom 2.0:n julkaisun myötä, joka esitteli merkittäviä parannuksia, jotka heijastivat enemmän kehittynyttä, salamaisuuteen suunnattua työkalupakettia, joka on optimoitu vakoilutoimintaan ja pitkäaikaiseen säilyttämiseen. Nämä päivitykset paransivat merkittävästi datan keräämisen ja siirtämisen kykyjä, osoittaen selvän siirtymisen strategisempaan käyttöön.

Seuraava käännös tapahtui helmikuussa 2023 RomCom 3.0:n julkaisun myötä, joka omaksui modulaarisen arkkitehtuurin, joka koostui kolmesta ydinkomponentista. Se edusti merkittävää loikkaa joustavuudessa ja toiminnallisuudessa, tukeva 42 erilaista komentoa, joista monet olivat hienoisia variaatioita toisistaan, korostaa operaattorin fokus sopeutumiskyvyn ja operatiivisen tarkennuksen suhteen.

Myöhemmät versiot jatkoivat keskittymistä kykyjen tarkennukseen ja operatiivisen kestävyyden parantamiseen. Ajan myötä RomCom kehittyi perustavanlaatuisesta backdoorista kommoditeettimalwareksi, jota eCrime-ryhmät hyödynsivät integroidakseen sen pelikirjoihinsa vakoilu- ja kiristysoperaatioiden mahdollistamiseksi. Tämä kehitys vahvistui sen yhdistymisestä Cuba-, Industrial Spy- ja Underground-ransomware-operaatioiden kanssa, osoittaen selvästi, että se oli jo sulautunut laajempaan vihollis-ekosysteemiin jaettuna infrastruktuurina. Tämä laaja omaksuminen veti myös valtioiden tukemien vihollisten huomion, erityisesti niiden, jotka ovat Venäjän etujen mukaisia, jotka alkoivat hyödyntää RomComia monipuolisena alustana, joka tukee sekä vakoilua että strategista vaikuttamista heidän geopolitiikkaan liittyvissä tavoitteissaan.

Tämä yhdistyminen vahvisti arviointiamme siitä, että eCrime- ja valtioiden tukemien vihollisten väliset rajat hämärtävät yhä enemmän. Siirtymä erilliseksi kuormaksi täysimittaiseksi alustaksi tapahtuu täsmälleen tässä leikkauspisteessä, kun se alkaa olla käytössä sofistikoituneissa, strategisissa ja abstrakteissa tavoitteissa, jotka ulottuvat pelkän opportunismin tai taloudellisen hyödyn yli. Siinä vaiheessa se lakkaa palvelemasta yksittäistä taktista tarkoitusta ja sen sijaan mahdollistaa useita, joskus ristiriitaisia, operatiivisia tavoitteita. Tämä osoittaa, että operaattorit kokevat kuorman uudelleen käytettäväksi infrastruktuuriksi eikä tarkoitukseen suunnitelluksi aseeksi.

Olet havainnut yhä hämärtävämpiä rajoja valtioiden toiminnan ja eCrime-vihollisten välillä. Miten näet tämän konvergenssin pääasialliset ajurit, ja miten puolustajien tulisi ajatella toisin arvioitaessaan attribuutioita ja motivaatiota näissä tapauksissa? 

Vihollisverkostojen ja eCrime-vihollisten välinen konvergenssi johtuu ennen kaikkea käytännön syistä molemmilla puolilla. Valtioiden tukemille vihollisille tavoitteena on hankkia nopeasti kyvykkyyksiä, jotka on jo validoituna ja todistettuna taistelukentällä. Käyttämällä olemassa olevaa työkalua tai infrastruktuuria he voivat hankkia operatiivista joustavuutta ilman, että tarvitsevat omistaa laajoja resursseja kehittääkseen mukautettuja työkaluja alusta alkaen. Miksi keksisi uudelleen, jos kuorma on kestävä, tehokas ja saatavilla? Toisaalta eCrime-operaattoreille pääsy valtiotasolle resursseihin ja infrastruktuuriin, mukaan lukien tiedustelu, kohdistustiedot ja suojatut jakelukanavat, mahdollistaa nopean skaalautuvuuden kyvyissä samalla, kun he saavat taatun taloudellisen tukensa vähäisellä riskillä.

RomCom edustaa tämän konvergenssin. Aluksi se oli kommoditeettimalware, joka oli suunniteltu rikollisille operaatioille, mutta myöhemmin se omaksuttiin toimintaan, joka on lähellä Venäjän strategisia etuja, kohdistuen Ukrainan hallitusrakenteisiin, sotilashenkilöihin, humanitaarisiin organisaatioihin ja NATO:n kanssa liittoutuneisiin maihin. Tämä kehitys korostaa avainperiaatetta: riippumatta siitä, onko vihollinen taloudellisesti vai poliittisesti motivoitunut, uhka uhreille on sama. Tässä kontekstissa uhkatietoinen puolustus muodostuu olennaiseksi. Organisaatioiden tulisi priorisoida puolustustensa ja kestävyytensä validointi realistisia, havaittuja käyttäytymismalleja vastaan sen sijaan, että keskittyisivät pelkästään attribuutioon tai oletettuihin motivaatioihin.

Miten RomCom paljastaa rahoituksellisten ja geopolitiikkaan liittyvien motivaatioiden yhdistymistä vihollisilla? Erityisesti, miten tulkkaat kasvavaa trendiä, jossa valtioiden tukemat ryhmät hyödyntävät eCrime-infrastruktuureja vaikuttamisen ja uskottavuuden välineinä? 

RomCom osoittaa, miten rikollisryhmä on kehittynyt pitkäaikaisen operatiivisen jatkuvuuden kanssa samalla, kun se on laajentanut verkostoaan yhteyksiä. Sen toiminnan aikana se on perustanut selkeät yhteydet useisiin rikollisperheisiin, erityisesti Cuba-, Industrial Spy- ja Underground-ransomware-operaatioiden kanssa, osoittaen syvän integraation rikollis-ekosysteemissä. Ajan myötä se on kehittynyt perustavanlaatuisesta backdoorista monipuoliseksi alustaksi, jota voidaan käyttää sekä vakoiluun että kiristysoperaatioihin. Tämä kehitys on osoitus siitä, että rajat eCrime- ja valtioiden tukemien vihollisten välillä hämärtävät yhä enemmän.

RomCom korostaa myös laajempaa mallia, jossa valtioiden tukemat ryhmät omaksuvat ja hyödyntävät eCrime-työkaluja ja -infrastruktuureja. Tämä dynamiikka paljastaa keskinäisen hyödyn suhteen: RomComin operaattorit ja heidän liittolaistensa saavat vaikutusvaltaa ja taloudellista tukea, kun taas valtiot saavat pääsyn kyvykkyyksiin ilman, että tarvitsevat omistaa laajoja resursseja niiden kehittämiseen. Tässä rikollis-ekosysteemissä uskollisuus on transaktio, joka perustuu vaikutusvaltaan ja voittoon.

Tämä malli tarjoaa selvät strategiset edut, miksi se on yhä yleisempää. Rikollis-yhteistyöt tarjoavat valtioille pääsyn kyvykkyyksiin ilman suoraa attribuutioita, ja tuloksena oleva operatiivinen epäselvyys monimutkaistaa diplomaattisia ja oikeudellisia vastauksia. Malware-perheet ovat käytännössä muodostuneet valtiollisiksi välineiksi, jotka täydentävät perinteistä vakoilua rikollis-infrastruktuurin kautta, joka on deniabiliteetti, skaalautuvuus ja itse ylläpitävä.

Nykyinen malware usein ei rajoitu yhteen teollisuuteen tai alueeseen. Mitä tämä viittaa hyökkääjien prioriteetteihin tai rajoituksiin, ja onko teollisuus- tai aluekohtaisia kohteita, jotka ovat seuraavassa vaarassa laajentua? 

Vaikka jotkut hyökkääjät asettavat itselleen rajoituksia, monet kohdellaan kriisejä ja kiireellisyyttä lisääntyneinä hyökkäysvektoreina, kiihdyttäen murtoja ja hyödyntäen hämmästyneitä tai jännittyneitä puolustuksia. Motivaatio vaikuttaa kohdistamiseen, mutta harvoin rajoittaa sitä. Taloudellisesti motivoituneet ryhmät priorisoivat kohdevalintaa, jolla on korkea tuotto tai operatiivinen riippuvuus, kuten rahoitus, maksujen prosessointi ja suuret yritykset, joilla on tiukat käytettävyyden vaatimukset. Toisaalta valtioiden tukemat ryhmät keskittyvät sektoreihin, jotka edistävät geopolitiikkaa, kuten hallitukseen, puolustukseen ja kriittiseen infrastruktuuriin. Silti ylivitys näiden motivaatioiden välillä on yhä yleisempää.

“Spray-and-pray”-taktiikat ja kommodisointi jatkuvat. Ransomware-as-a-Service (RaaS) -mallit, kommoditeettityökalut ja automaattinen skannaus mahdollistavat taloudellisesti motivoituneille hyökkääjille laajentaa kohdevalintaansa aggressiivisesti. Mikä tahansa altis, heikosti puolustettu palvelu on potentiaalisesti kohde. Maantieteellinen laajentuminen seuraa sekä mahdollisuuksia että kypsentymisen aukkoja. Alueet, jotka kokevat nopeaa digitaalista muutosta, mutta joilla on rajallinen kyberturvallisuus tai vähäinen vastauskyky, ovat houkuttelevia ensimmäisen murron ja skaalautuvuuden kannalta. Toisaalta arvokkaat kohteet hyvin puolustettuilla alueilla vaikuttavat usein toimittajien ketjun kautta tai ulkoistetun pääsyn kautta. Tulevaisuudessa laajentuminen on todennäköistä alueilla, jotka ovat lähellä aktiivisia geopolitiikkaa, joissa tiedustelun kerääminen tukee strategisia etuja ja puolustuskyky on edelleen jäljessä vihollisen sofistikoitumista.

Kun luot realistisia vihollisemulaatioita, mitkä ovat haastavimpia teknisiä haasteita, joita kohtaat, ja miten varmistat, että emulaatiot ovat riittävän edustavia todellisista uhkista, ja onko käyttäytymisiä, jotka ovat erityisen haasteellisia simuloida?

Yksi haastavimmista teknisistä haasteista on saavuttaa käyttäytymisen uskottavuus ilman operatiivista riskiä. Emulaatioiden on jäljitettävä todellisia käyttäytymisiä tarpeeksi tarkasti, jotta ne voivat validoida havaitsemisen ja eston mekanismit, samalla kun ne ovat turvallisia suorittaa tuotantoympäristöissä. Se on jatkuva tasapainoilu. Liian agressiiviset toteutukset riskittävät järjestelmien epävakauttamisen tai tuottavat vaarallisia vääräpositiivisia/vääränegatiivisia tuloksia, kun taas liian varovaiset menetelmät menettävät uskottavuuden ja käytännöllisyyden. Priorisoimme emuloimalla vihollisen “kuristuskohtia”, niitä kriittisiä käyttäytymisiä, jotka määrittävät, onnistuuko murto vai ei, ja missä puolustuksen näkyvyys ja reagointi merkitsevät eniten. Keskittymällä uskottavuuteen näihin ratkaiseviin käyttäytymisiin, emulaatiot tarjoavat korkeimman arvon sekä havaintojen kattavuudelle että kestävyyden validoinnille.

Jotkut tekniikat on tarkoituksella rajoitettu tai jätetty pois, koska ne aiheuttavat hyväksymättömän riskin tai eivät voida uskottavasti emuloida ilman ympäristön vahingoittamista. Pieni virhe toteutuksessa voi johtaa siihen, että testataan jotain, mitä vihollinen ei todella tee, tai järjestelmän vakautta heikennetään. Verkkokäyttäytyminen on myös rajoitettu: esimerkiksi jäljitämme protokollamalleja ja C2-signaaleja ilman yhteyttä vihamieliseen infrastruktuuriin.

Luoda realistisia emulaatioita on siten iteratiivinen insinööritieteellinen prosessi: tunnista, dokumentoi, toteuta, testaa, validoikkaa ja tarkenna. Jokainen iterointi tasapainottaa uskottavuuden, turvallisuuden ja operatiivisen merkityksen, varmistaen, että emulaatiot ovat sekä realistisia että käyttökelpoisia.

Katsoen kolmeen viiden vuoden päähän, mitkä trendit malwaren monimutkaisuudessa, hyökkääjien metodologioissa tai uhka-ekosysteemeissä ovat sinulle eniten huolestuttavia tai mielenkiintoisia, ja mitkä perustavat toimenpiteet suosittelisit organisaatioille, jotka aloittavat matkansa uhkatietoisessa puolustuksessa ja vihollisemulaatiossa?

Yksi mielenkiintoisimmista ja huolestuttavimmista trendeistä on kyberrikollisuuden ekosysteemien kasvava monimutkaisuus. Viimeisen vuosikymmenen aikana eCrime-toimijat ovat laajentaneet vaikutusvaltaansa dramaattisesti.

Aikaisemmin osallistujien määrä oli rajoitettu, ja heidän vaikutuksensa oli verrattavissa marginaaliseen. Nykyään satoja toimijoita on olemassa ja ne toimivat yhdessä, kullekin omalla erikoistumisalueellaan. Tämä riippuvuus muodostaa monimutkaisen, liiketoimintamaisen ekosysteemin, joka muistuttaa legitiimejä markkinoita rakenteeltaan ja tehokkuudeltaan. Ransomware-ekosysteemi edustaa tätä täydellisesti: kymmeniä aktiivisia perheitä on olemassa, ne kehittyvät ja korvaavat toisiaan. Tämä jatkuva muutos paljastaa monimutkaisen verkoston suhteita, josta on yhä haasteellisempaa erottaa.

Toinen määrittävä trendi on valtioiden ja rikollisryhmien välinen konvergenssi. Ei pelkästään operatiivisella tasolla vaan myös jaetun infrastruktuurin ja malware-alustojen kehittämisessä. RomCom edustaa tämän kehityksen. Se siirtyi pelkästään taloudellisesti motivoituneesta kommoditeetista monipuoliseksi alustaksi, jota käytetään valtiollisissa operaatioissa, tukeakseen Venäjän strategisia etuja samalla, kun se säilyttää eCrime-joustavuutensa.

Uusille organisaatioille, jotka aloittavat uhkatietoisen puolustuksen, perustava askel on omaksua MITRE ATT&CK -kehys yhteisenä kielenä ymmärtääkseen ja keskustellakseen vihollisen käyttäytymisestä. ATT&CK tarjoaa käyttäytymisen taksonomian, joka mahdollistaa puolustajien kartoittaa havainnot ja kontrollit suoraan vihollisen tekniikoihin eikä staattisiin tunnisteisiin. Priorisoi käyttäytymisen perusteisia havaintoja signature-pohjaisiin lähestymistapoihin. Indikaattorit muuttuvat jatkuvasti, mutta vihollisen tekniikat säilyvät suhteellisen vakaina, periaate, joka on pyramidi-vaivana.