Francis Guibernau, Ingénieur de Recherche Adversaire Senior chez AttackIQ – Série d’entretiens

Francis Guibernau est un Ingénieur de Recherche Adversaire Senior et membre de l’équipe de Recherche Adversaire (ART) chez AttackIQ. Francis conduit des recherches approfondies sur les menaces et des analyses pour concevoir et créer des émulations d’adversaires très sophistiquées et réalistes. Il coordonne également le projet de Renseignement sur les Menaces Cybernétiques (CTI), qui se concentre sur la recherche, l’analyse, le suivi et la documentation des adversaires, des familles de logiciels malveillants et des incidents de cybersécurité. Francis a une expérience considérable dans le domaine du renseignement sur les adversaires, englobant à la fois les menaces étatiques et celles liées au crime, ainsi que dans l’évaluation et la gestion des vulnérabilités, ayant précédemment travaillé chez Deloitte et BNP Paribas.

AttackIQ est une entreprise de cybersécurité qui permet aux organisations de passer d’hypothèses sur leurs défenses à une validation continue et fondée sur les données. En émulant les tactiques des adversaires à l’aide du modèle MITRE ATT&CK® et en offrant des tests automatisés et sûrs pour la production dans les environnements cloud, hybrides et sur site, l’entreprise aide à identifier les lacunes en matière de sécurité dans les contrôles, les processus et les personnes, permettant ainsi aux dirigeants de prioriser les mesures correctives, de justifier les investissements et de passer d’une réponse réactive à la cybersécurité à une résilience proactive.

Comment êtes-vous devenu partie intégrante du domaine de la cybersécurité, et pourquoi avez-vous choisi de vous spécialiser dans le Renseignement sur les Menaces Cybernétiques ? Comment le CTI a-t-il façonné votre compréhension de l’évolution des menaces à la fois dans les écosystèmes nationaux et criminels ?

Mon parcours dans la cybersécurité n’a pas été planifié ; il s’est déroulé par opportunité plutôt que par choix. Il a commencé lorsque j’ai rejoint une organisation de cybersécurité mature, où j’ai travaillé dans deux domaines clés : l’évaluation et la gestion des vulnérabilités, et le Renseignement sur les Menaces Cybernétiques (CTI). Grâce à la gestion des vulnérabilités, j’ai acquis une perspective défensive — en veillant à ce que les systèmes soient correctement entretenus, corrigés et résistants aux attaques. Dans le CTI, j’ai adopté la mentalité de l’attaquant, en analysant ses motivations, ses objectifs et ses capacités. C’est là que je me suis profondément familiarisé avec le cadre MITRE ATT&CK, que j’ai utilisé pour documenter les tactiques, techniques et procédures (TTP) des adversaires et définir leurs livres de jeu opérationnels.

Cette expérience double m’a donné une compréhension globale de la façon dont les défenseurs et les attaquants interagissent dans un écosystème en constante évolution. Le CTI est rapidement devenu une passion personnelle. Son objectif stratégique de comprendre comment les adversaires opèrent, évoluent et influencent les uns les autres m’a semblé presque prédéterminé. Je suis reconnaissant de continuer à travailler dans ce domaine, en observant et en analysant la complexité croissante du paysage des menaces mondiales, où les adversaires étatiques et criminels, malgré leurs motivations distinctes, se croisent et influencent de plus en plus les opérations les uns des autres.

En regardant en arrière, quel projet ou quelle expérience a marqué un tournant dans votre carrière et a façonné votre perspective en matière de cybersécurité ? 

Un moment charnière est arrivé lorsque j’ai commencé à rechercher et à documenter les TTP que les adversaires et les logiciels malveillants utilisent pour détecter et éviter les environnements contrôlés. Cet effort est devenu la base du projet de recherche “Conscience de l’environnement“, que j’ai mené avec mon collègue et ami Ayelen Torello, avec qui j’ai maintenant l’occasion de travailler aux côtés d’AttackIQ. Notre recherche s’est concentrée sur la catalogation des différentes méthodes que les adversaires utilisent pour reconnaître et éviter les environnements sandboxés ou virtualisés, leur permettant de rester indétectés pendant l’analyse automatisée. Le livre blanc qui en a résulté a été adopté plus tard comme base de la technique “T1497 – Évasion de la virtualisation/Sandbox” dans le cadre MITRE ATT&CK.

Pendant cette enquête, j’ai été témoin de l’évolution continue des adversaires, avec des charges utiles de plus en plus sophistiquées et une capacité améliorée à éviter les systèmes de détection automatisés, augmentant ainsi leurs chances de compromettre avec succès des cibles réelles. Cette expérience a fondamentalement façonné ma compréhension de l’adaptabilité de l’adversaire et du cycle d’innovation constant qui définit les menaces modernes.

Depuis que vous avez rejoint AttackIQ en 2021 en tant qu’Ingénieur de Recherche Adversaire et que vous avez dirigé la création de l’initiative de Renseignement sur les Menaces Cybernétiques, comment vos responsabilités ont-elles évolué, et comment équilibrez-vous la coordination du projet CTI, la recherche stratégique sur les menaces et le développement d’émulations d’adversaires ? 

La construction du programme de Renseignement sur les Menaces Cybernétiques (CTI) chez AttackIQ a été une tâche complexe. Nous devions obtenir une visibilité sur un large éventail de menaces rapidement. En tant que fournisseur de services, notre attention ne pouvait pas être limitée à un seul secteur, région ou nation. Au lieu de cela, nous avions besoin d’une base de connaissances qui englobait à la fois les adversaires, des groupes étatiques aux groupes criminels, et les logiciels malveillants, des familles de logiciels malveillants courants aux familles de logiciels malveillants personnalisés. Une fois la base établie, nous avons commencé à nous concentrer sur ce que j’appelle les “poids lourds” : des entités très actives et ayant un impact important qui influencent de multiples secteurs, régions et nations. Cette approche nous permet de prioriser les menaces les plus pertinentes pour notre base de clients.

Compte tenu du paysage des menaces en constante évolution, équilibrer la collecte de renseignements, l’analyse des menaces et l’émulation des adversaires est inhérentement complexe. Chaque type d’émulation présente des défis distincts. D’une part, les émulations des adversaires étatiques sont généralement très sophistiquées, adaptées à des objectifs spécifiques, caractérisées par des temps de présence prolongés et motivées par des motivations politiques. Reproduire leur comportement nécessite une analyse approfondie, de la patience et de la précision, ce qui les rend intellectuellement stimulantes et gratifiantes à émuler. D’autre part, les émulations des groupes criminels sont rapides et opportunistes. Ces adversaires introduisent de nouvelles techniques, opèrent avec des temps de présence plus courts et impactent souvent plusieurs secteurs et régions. Leur utilisation d’outils partagés et de logiciels malveillants courants, avec des TTP qui se chevauchent entre les groupes, rend leurs livres de jeu dynamiques et fascinants à reproduire.

Trouver l’équilibre est un processus stratégique. Nous alignons les priorités de recherche et d’émulation avec les exigences des clients et les développements mondiaux, y compris les tensions géopolitiques, les vulnérabilités critiques nouvellement divulguées et les avis des organisations internationales telles que la Cybersecurity and Infrastructure Security Agency (CISA) et le National Cyber Security Centre (NCSC). En fin de compte, ce travail est un effort d’équipe. L’équipe de Recherche Adversaire (ART) est composée d’individus incroyablement talentueux dont les contributions rendent possibles des émulations réalistes et sûres. Le CTI n’est qu’une partie du processus ; transformer les renseignements en émulations contrôlées et authentiques est un défi complexe qui nécessite la collaboration, la précision et l’engagement partagé.

Au sein de l’équipe de Recherche Adversaire d’AttackIQ, comment la recherche est-elle structurée et priorisée, et quels ont été les défis les plus importants pour traduire les connaissances sur les menaces en émulations d’adversaires actionnables ?

Plusieurs facteurs influencent la façon dont nous priorisons la recherche au sein de l’équipe de Recherche Adversaire d’AttackIQ. Notre objectif principal est d’émuler les adversaires qui posent le plus grand risque pour la plus grande partie de nos clients, en veillant à ce que les ressources soient optimisées et concentrées sur les menaces à impact large avant d’aborder celles plus spécifiques.

Cet étendue comprend à la fois les adversaires et les familles de logiciels malveillants observés dans la nature. Nous suivons en permanence un large éventail d’entités, avec une priorisation basée sur les besoins opérationnels plutôt que sur des directives prescriptives. Les menaces émergentes provoquent souvent une réévaluation rapide. L’augmentation des tensions géopolitiques, l’augmentation des rapports sur une vulnérabilité critique ou les avis concentrés des CERT élèvent rapidement ces sujets au sommet de la liste.

L’un de nos principaux défis est de maintenir une priorisation cohérente et d’équilibrer les ressources pour fournir des émulations réalistes et sophistiquées tout en garantissant l’efficacité et la scalabilité sur les cycles de développement. Nous mettons fortement l’accent sur le développement de comportements larges et réutilisables. En identifiant les similitudes entre les adversaires et les familles de logiciels malveillants, nous nous concentrons sur la reproduction de techniques et de procédures qui apparaissent constamment dans plusieurs livres de jeu. Ces éléments peuvent ensuite être adaptés et intégrés dans d’autres émulations, permettant ainsi une plus grande flexibilité et scalabilité. Cette approche nous permet de prioriser les comportements dotés d’une grande réutilisation et d’une pertinence opérationnelle plutôt que d’investir lourdement dans des mises en œuvre étroites et ponctuelles. production cadencée, fournissant des émulations ciblées, significatives et flexibles.

Dans votre recherche récente sur RomCom, quels ont été les points d’inflexion clés qui ont influencé sa transformation d’une porte dérobée de base en une plate-forme polyvalente prenant en charge à la fois l’espionnage et l’extorsion financière, et dans quelles circonstances le logiciel malveillant passe-t-il d’une charge utile autonome à une plate-forme complète ? 

Le cas de RomCom est particulièrement fascinant car il est apparu pour la première fois en mai 2022 en tant que porte dérobée relativement simple conçue principalement pour l’accès à distance et l’exfiltration de données de base. Le premier point d’inflexion majeur s’est produit juste un mois plus tard avec la sortie de RomCom 2.0, qui a introduit des améliorations substantielles qui reflétaient un ensemble d’outils plus mature et plus orienté vers la furtivité, optimisé pour les opérations d’espionnage et la persistance à long terme. Ces mises à jour ont considérablement amélioré les capacités de collecte et d’exfiltration de données, signalant un changement clé vers une utilisation plus stratégique.

Le point d’inflexion suivant est survenu avec l’introduction de RomCom 3.0 en février 2023, qui a adopté une architecture modulaire structurée en trois composants principaux. Il représentait un bond considérable en termes de flexibilité et de fonctionnalité, prenant en charge 42 commandes distinctes, dont beaucoup étaient des variations subtiles les unes des autres, mettant en évidence le focus de l’opérateur sur l’adaptabilité et l’affinement opérationnel.

Les versions ultérieures se sont concentrées sur l’affinement des capacités et l’amélioration de la résilience opérationnelle. Au fil du temps, RomCom est passé d’une porte dérobée conçue à des fins spécifiques à une plate-forme de logiciels malveillants utilisée par des groupes criminels, qui l’ont intégrée à leurs livres de jeu pour faciliter diverses opérations criminelles. Cette évolution a été évidente dans l’intégration de RomCom avec les opérations de rançongiciel Cuba, Industrial Spy et Underground, indiquant clairement qu’il était devenu une infrastructure partagée au sein d’un écosystème adversaire plus large. Cette adoption généralisée a inévitablement attiré l’attention des adversaires alignés sur les États, en particulier ceux alignés sur les intérêts russes, qui ont commencé à utiliser RomCom en tant que plate-forme polyvalente prenant en charge à la fois l’espionnage et les opérations d’influence stratégique à des fins géopolitiques.

Cette convergence a confirmé notre évaluation selon laquelle les frontières entre les groupes criminels et les adversaires étatiques sont de plus en plus floues. La transition d’une charge utile autonome à une plate-forme complète se produit précisément à ce carrefour, lorsqu’elle commence à être utilisée pour des objectifs stratégiques et sophistiqués qui vont au-delà de l’opportunisme ou du gain financier. À ce stade, elle cesse de servir un objectif tactique unique et commence à permettre plusieurs objectifs opérationnels, parfois contradictoires. Cela suggère que les opérateurs considèrent la charge utile comme une infrastructure réutilisable plutôt que comme une arme conçue à des fins spécifiques.

Vous avez observé des frontières de plus en plus floues entre les activités des États et celles des groupes criminels. Quels sont les principaux facteurs qui déterminent cette convergence, et comment les défenseurs devraient-ils penser différemment lorsqu’ils évaluent l’attribution et la motivation dans ces cas ? 

La convergence entre les opérations des États et celles des groupes criminels est principalement déterminée par des facteurs pragmatiques des deux côtés. Pour les adversaires étatiques, l’objectif est d’acquérir rapidement des capacités déjà validées et prouvées sur le champ de bataille. Utiliser des outils ou des infrastructures existants leur permet d’acquérir une flexibilité opérationnelle sans consacrer des ressources considérables au développement d’outils personnalisés à partir de zéro. Si une charge utile est résistante, efficace et disponible, pourquoi la réinventer ? Inversement, pour les opérateurs criminels, l’accès aux ressources et à l’infrastructure de niveau étatique, y compris les renseignements, les données de ciblage et les canaux de distribution protégés, leur permet de mettre rapidement à l’échelle leurs capacités tout en bénéficiant d’un financement garanti avec un risque minimal.

RomCom illustre cette convergence. Initialement, il s’agissait d’un logiciel malveillant de base conçu pour faciliter les opérations de rançongiciel. Il a été adopté plus tard dans des activités alignées sur les intérêts stratégiques russes, ciblant des institutions gouvernementales ukrainiennes, des personnels militaires, des organisations humanitaires et des pays alignés sur l’OTAN. Notre évaluation indique que RomCom est passé d’un outil à but lucratif à une utilité utilisée dans les opérations des États, prenant en charge à la fois l’espionnage et les opérations de perturbation. Cela met en évidence un principe clé : quel que soit le motif de l’adversaire, qu’il soit financièrement ou politiquement motivé, l’impact sur la victime reste le même. Dans ce contexte, la défense éclairée par les menaces devient essentielle. Les organisations devraient donner la priorité à la validation de leurs défenses et de leur résilience contre des comportements réalistes et observés, plutôt que de se concentrer uniquement sur l’attribution ou la motivation présumée.

Que révèle RomCom sur la convergence des motivations financières et géopolitiques parmi les adversaires ? Plus précisément, comment interprétez-vous la tendance croissante des groupes alignés sur les États à utiliser les infrastructures du crime comme instruments d’influence ou de déni plausible ? 

RomCom démontre l’évolution d’un groupe criminel qui a maintenu une cohérence opérationnelle à long terme tout en élargissant son réseau d’affiliations. Tout au long de son activité, il a établi des liens clairs avec plusieurs familles de rançongiciels, notamment Cuba, Industrial Spy et Underground, reflétant une intégration profonde dans l’écosystème du crime. Au fil du temps, il est passé d’une porte dérobée conçue à des fins spécifiques à une plate-forme de logiciels malveillants utilisée par des groupes criminels pour faciliter diverses opérations criminelles. Cette évolution a été évidente dans son intégration avec les opérations de rançongiciel, indiquant clairement qu’il était devenu une infrastructure partagée au sein d’un écosystème adversaire plus large. Cette adoption généralisée a inévitablement attiré l’attention des adversaires alignés sur les États, en particulier ceux alignés sur les intérêts russes, qui ont commencé à utiliser RomCom en tant que plate-forme polyvalente prenant en charge à la fois l’espionnage et les opérations d’influence stratégique à des fins géopolitiques.

RomCom met également en évidence un modèle plus large dans lequel les groupes alignés sur les États adoptent ou réutilisent les outils du crime. Ces outils sont éprouvés, efficaces et servent de moyens pratiques pour atteindre des objectifs stratégiques plus larges. La Russie reste un exemple de premier plan : des rapports étendus détaillent des groupes criminels liés à la Russie qui opèrent comme des extensions de fait des opérations de l’État ou sont utilisés directement pour les soutenir. Cette dynamique révèle une relation mutuellement bénéfique : les opérateurs de RomCom et leurs affiliés gagnent de l’influence et des récompenses financières, tandis que les États obtiennent l’accès à des actifs capables et déniés. Dans le paysage du crime, l’allégeance est transactionnelle, enracinée dans l’influence et le profit.

Ce modèle offre des avantages stratégiques clairs, ce qui explique pourquoi il devient de plus en plus courant. Les partenariats criminels offrent aux États l’accès et les capacités sans attribution directe, et l’ambiguïté opérationnelle qui en résulte complique les réponses diplomatiques et juridiques. Les familles de logiciels malveillants sont effectivement devenus des instruments de l’art de la guerre, complétant plutôt que remplaçant l’espionnage traditionnel par l’intermédiaire d’une infrastructure criminelle qui est déniée, scalable et autosuffisante.

Les logiciels malveillants modernes ne restent souvent pas confinés à une seule industrie ou région. Que suggère cela sur les priorités ou les contraintes de l’attaquant, et y a-t-il des secteurs ou des géographies que vous pensez être “suivants” pour une expansion transversale ? 

Alors que certains adversaires peuvent s’imposer des contraintes, beaucoup traitent l’urgence et les crises comme des vecteurs d’infection supplémentaires, accélérant les intrusions et exploitant les défenses distraits ou tendues. La motivation influence la cible mais la limite rarement. Les groupes à motivation financière donnent la priorité aux objectifs à rendement élevé ou aux dépendances opérationnelles, comme les finances, les processeurs de paiement et les grandes entreprises avec des exigences de disponibilité strictes. En revanche, les groupes alignés sur les États se concentrent sur les secteurs qui font progresser les objectifs géopolitiques, y compris le gouvernement, la défense et les infrastructures critiques. Cependant, le chevauchement entre ces motivations est de plus en plus commun.

Les tactiques de type “spray-and-pray” et la commodification persisteront. Les modèles de Rançongiciel en tant que Service (RaaS) et les outils courants permettent aux adversaires à motivation financière d’élargir agressivement leur ensemble de cibles. Tout service exposé et faiblement défendu est potentiellement dans leur champ de vision. L’expansion géographique suit à la fois les opportunités et les lacunes de maturité. Les régions qui subissent une transformation numérique rapide mais qui ont une maturité et une capacité de réponse aux incidents limitées sont attractives pour les compromis initiaux et les opérations d’expansion. Inversement, les cibles à haute valeur dans les régions bien défendues sont souvent touchées par le biais de compromis de la chaîne d’approvisionnement ou d’accès externalisé. En regardant vers l’avenir, l’expansion est susceptible de se produire dans les régions adjacentes aux conflits géopolitiques actifs où la collecte de renseignements soutient les intérêts stratégiques et où la maturité défensive est encore en retard par rapport à la sophistication de l’adversaire.

Lors de la création d’émulations d’adversaires réalistes, quels sont les défis techniques les plus difficiles que vous rencontrez ? Comment validez-vous que ces émulations sont suffisamment représentatives des menaces du monde réel, et y a-tirent-ils des comportements qui restent particulièrement difficiles à simuler de manière fiable ?

L’un des défis techniques les plus difficiles est d’atteindre une fidélité de comportement sans introduire de risque opérationnel. Les émulations doivent reproduire les comportements du monde réel avec suffisamment de précision pour valider la détection et la prévention, tout en restant suffisamment sûres pour être exécutées dans des environnements de production. Ce compromis est constant. Des mises en œuvre trop agressives risquent de déstabiliser les systèmes ou de produire de faux positifs/négatifs dangereux, tandis que des mises en œuvre trop prudentes perdent de la fidélité et de l’utilité. Nous donnons la priorité à l’émulation des “points de compression” de l’adversaire, les comportements critiques qui déterminent si une intrusion réussit ou échoue, et où la visibilité et la réponse défensives sont les plus importantes. En se concentrant sur ces comportements décisifs, les émulations offrent la plus grande valeur pour la couverture de détection et la validation de la résilience.

Certaines techniques sont intentionnellement limitées ou omises car elles présentent un risque inacceptable ou ne peuvent pas être fidèlement émulées sans mettre en danger l’environnement. Si vous obtenez une mise en œuvre légèrement incorrecte, vous testez soit quelque chose que l’adversaire ne fait jamais réellement, soit vous déstabilisez le système que vous essayez de protéger. D’autres défis proviennent de comportements qui dépendent du contexte environnemental ou nécessitent un accès authentifié. Les comportements réseau sont également limités : par exemple, nous reproduisons les modèles de protocole et les comportements de signalisation pour le C2 sans nous connecter à des infrastructures malveillantes.

Créer des émulations réalistes est donc un processus d’ingénierie itérative : identifier, documenter, mettre en œuvre, tester, valider et affiner. Chaque itération équilibre la fidélité, la sécurité et la pertinence opérationnelle pour garantir que les émulations soient à la fois réalistes et déployables.

En regardant trois à cinq ans à l’avance, quels sont les tendances dans la sophistication des logiciels malveillants, la méthodologie des attaquants ou les écosystèmes de menaces que vous trouvez les plus préoccupantes ou les plus intrigantes, et quels sont les pas fondamentaux que vous recommanderiez aux organisations qui commencent leur parcours en matière de défense éclairée par les menaces et d’émulation d’adversaires ?

L’une des tendances les plus intrigantes et préoccupantes est l’augmentation de la sophistication des écosystèmes criminels. Au cours de la dernière décennie, les acteurs du crime ont considérablement élargi leur influence.

Dans les premières années, le nombre de participants était limité et leur influence était relativement marginale. Aujourd’hui, des centaines d’entités interconnectées coexistent et collaborent, chacune remplissant des rôles spécialisés. Cette interdépendance forme un écosystème complexe, structuré comme les marchés légitimes en termes de structure et d’efficacité. L’écosystème du rançongiciel illustre parfaitement cela : des dizaines de familles actives coexistent, évoluent et se succèdent. Ce changement constant révèle une toile complexe de relations qui devient de plus en plus difficile à démêler.

Une autre tendance déterminante est la convergence entre les opérations étatiques et criminelles. Non seulement au niveau opérationnel, mais aussi dans le développement d’infrastructures et de plateformes de logiciels malveillants partagées. RomCom illustre cette évolution. Il est passé d’un outil à but lucratif à une utilité utilisée dans les opérations des États, prenant en charge à la fois l’espionnage et les opérations de perturbation. Son ciblage d’institutions gouvernementales, de personnels militaires, d’organisations humanitaires et de pays alignés sur l’OTAN démontre un changement d’orientation vers un instrument de l’art de la guerre, soutenant les objectifs d’intelligence russes tout en conservant sa polyvalence criminelle.

Pour les organisations qui débutent dans la défense éclairée par les menaces, l’étape fondamentale est d’adopter le cadre MITRE ATT&CK comme langage partagé pour comprendre et discuter du comportement de l’adversaire. ATT&CK fournit une taxonomie comportementale qui permet aux défenseurs de mapper les détections et les contrôles directement aux techniques de l’attaquant plutôt qu’aux indicateurs statiques. Donnez la priorité à la détection comportementale plutôt qu’aux approches basées sur les signatures. Les indicateurs de compromission changent constamment, mais les techniques de l’adversaire restent relativement stables, un principe capturé dans le cadre de la Pyramide de la Douleur. Priorisez la détection comportementale par rapport aux approches basées sur les signatures. Les indicateurs de compromission changent constamment, mais les techniques de l’adversaire restent relativement stables, un principe capturé dans le cadre de la Pyramide de la Douleur.

Merci pour les réponses détaillées, les lecteurs qui souhaitent en savoir plus peuvent visiter AttackIQ.