Francis Guibernau, Senior Adversary Research Engineer di AttackIQ – Seri Wawancara

Francis Guibernau adalah Senior Adversary Research Engineer dan anggota Tim Riset Adversary (ART) di AttackIQ. Francis melakukan penelitian ancaman dan analisis secara mendalam untuk merancang dan menciptakan emulasi adversary yang sangat canggih dan realistis. Ia juga mengkoordinasikan proyek Cyber Threat Intelligence (CTI), yang berfokus pada penelitian, analisis, pelacakan, dan pendokumentasian adversary, keluarga malware, dan insiden keamanan siber. Francis memiliki pengalaman luas dalam intelijen adversary, mencakup ancaman Negara dan eCrime, serta dalam penilaian dan pengelolaan kerentanan, setelah bekerja di Deloitte dan BNP Paribas.

AttackIQ adalah perusahaan keamanan siber yang memungkinkan organisasi untuk melampaui asumsi tentang pertahanan mereka dan memvalidasi data secara terus-menerus. Dengan meniru taktik adversary menggunakan model MITRE ATT&CK dan menawarkan pengujian otomatis yang aman produksi di seluruh lingkungan cloud, hybrid, dan on-premises, perusahaan membantu mengungkap celah keamanan dalam kontrol, proses, dan orang – memungkinkan pemimpin untuk memprioritaskan perbaikan, membenarkan investasi, dan beralih dari respons cyber reaktif ke ketahanan proaktif.

Bagaimana Anda menjadi bagian dari bidang keamanan siber, dan mengapa Anda memilih untuk berspesialisasi dalam Cyber Threat Intelligence? Bagaimana CTI membentuk pemahaman Anda tentang bagaimana ancaman berkembang di seluruh ekosistem negara dan kriminal?

Jalan saya ke dalam keamanan siber tidak direncanakan; itu terjadi karena kesempatan daripada desain. Ini dimulai ketika saya bergabung dengan organisasi keamanan siber yang matang, di mana saya bekerja di dua area kunci: Penilaian dan Pengelolaan Kerentanan, dan Cyber Threat Intelligence (CTI). Melalui Pengelolaan Kerentanan, saya memperoleh perspektif defender – memastikan sistem dipelihara, diperbarui, dan tangguh terhadap serangan. Dalam CTI, saya mengadopsi mindset penyerang, menganalisis motivasi, tujuan, dan kemampuan mereka. Ini adalah tempat saya menjadi sangat akrab dengan Kerangka MITRE ATT&CK, yang saya gunakan untuk mendokumentasikan Taktik, Teknik, dan Prosedur (TTP) adversary dan mendefinisikan playbook operasional mereka.

Pengalaman ganda ini memberi saya pemahaman komprehensif tentang bagaimana defender dan penyerang berinteraksi dalam ekosistem yang terus berkembang. CTI dengan cepat menjadi passion pribadi. Tujuan strategisnya untuk memahami bagaimana adversary beroperasi, berkembang, dan mempengaruhi satu sama lain terasa hampir sudah ditentukan. Saya bersyukur dapat terus bekerja dalam disiplin ini, mengamati dan menganalisis kompleksitas lanskap ancaman global yang terus berkembang, di mana adversary yang disponsori negara dan eCrime, meskipun memiliki motivasi yang berbeda, semakin beririsan dan membentuk operasi satu sama lain.

Mengingat kembali, proyek atau pengalaman apa yang menandai titik balik dalam karir Anda dan membentuk perspektif Anda dalam keamanan siber? 

Saat yang menentukan terjadi ketika saya mulai melakukan penelitian dan mendokumentasikan TTP yang digunakan adversary dan malware untuk mendeteksi dan menghindari lingkungan yang dikontrol. Upaya ini menjadi dasar untuk “Environment Awareness,” sebuah proyek penelitian yang saya lakukan dengan rekan dan teman saya Ayelen Torello, dengan siapa saya sekarang memiliki kesempatan untuk bekerja bersama di AttackIQ. Penelitian kami berfokus pada mengkatalogkan metode yang digunakan adversary untuk mengenali dan menghindari lingkungan sandbox atau virtual, memungkinkan mereka untuk tetap tidak terdeteksi selama analisis otomatis. Makalah putih yang dihasilkan kemudian diadopsi sebagai dasar untuk teknik “T1497 – Virtualization/Sandbox Evasion” dalam Kerangka MITRE ATT&CK.

Selama investigasi ini, saya menyaksikan evolusi terus-menerus dari adversary, dengan payload mereka menjadi semakin canggih dan kemampuan mereka untuk menghindari sistem deteksi otomatis meningkat, meningkatkan peluang mereka untuk berhasil mengompromikan target nyata. Pengalaman ini secara fundamental membentuk pemahaman saya tentang adaptabilitas adversary dan siklus inovasi yang terus-menerus yang mendefinisikan ancaman modern.

Sejak bergabung dengan AttackIQ pada 2021 sebagai Adversary Research Engineer dan memimpin pembentukan inisiatif Cyber Threat Intelligence, bagaimana tanggung jawab Anda berkembang, dan bagaimana Anda menyeimbangkan koordinasi proyek CTI, penelitian ancaman strategis, dan pengembangan emulasi adversary? 

Membangun program Cyber Threat Intelligence (CTI) di AttackIQ adalah tugas yang kompleks. Kami perlu mencapai visibilitas di seluruh spektrum ancaman dengan cepat. Sebagai penyedia layanan, fokus kami tidak dapat terbatas pada sektor, wilayah, atau negara tertentu. Sebaliknya, kami memerlukan basis pengetahuan yang mencakup baik adversary maupun malware, dari yang disponsori negara hingga kelompok eCrime. Setelah dasar tersebut dibentuk, kami mulai fokus pada apa yang saya sebut “Heavyweights”: entitas yang sangat aktif dan berdampak, yang mempengaruhi beberapa sektor, wilayah, dan negara. Pendekatan ini memungkinkan kami untuk memprioritaskan ancaman yang paling relevan dengan basis pelanggan kami.

Diberikan lanskap ancaman yang bergerak cepat, menyeimbangkan pengumpulan intelijen, analisis ancaman, dan emulasi adversary secara inheren kompleks. Setiap jenis emulasi menyajikan tantangan yang berbeda. Di satu sisi, emulasi yang disponsori negara biasanya sangat canggih, disesuaikan dengan tujuan tertentu, ditandai dengan waktu tinggal yang diperpanjang dan didorong oleh motivasi politik. Menghasilkan ulang perilaku mereka memerlukan analisis yang mendalam, kesabaran, dan presisi, membuatnya menantang secara intelektual dan memuaskan untuk diemulasikan. Di sisi lain, emulasi eCrime bergerak cepat dan oportunis. Adversary ini memperkenalkan teknik baru, beroperasi dengan waktu tinggal yang lebih singkat, dan sering mempengaruhi beberapa sektor dan wilayah. Penggunaan alat dan malware komoditas yang mereka bagikan, dengan TTP yang tumpang tindih di seluruh kelompok, membuat playbook mereka dinamis dan menarik untuk direproduksi.

Mencapai keseimbangan yang tepat adalah proses strategis. Kami selaraskan prioritas penelitian dan emulasi dengan kebutuhan pelanggan dan perkembangan global, termasuk ketegangan geopolitik, kerentanan kritis yang baru diungkap, dan advis dari organisasi internasional seperti Cybersecurity and Infrastructure Security Agency (CISA) dan National Cyber Security Centre (NCSC). Pada akhirnya, pekerjaan ini adalah upaya tim. Tim Riset Adversary (ART) terdiri dari individu yang sangat berbakat, yang kontribusinya membuat emulasi yang realistis dan aman menjadi mungkin. CTI hanya salah satu bagian dari proses; mengubah intelijen menjadi emulasi yang terkendali dan autentik adalah tantangan kompleks yang memerlukan kolaborasi, presisi, dan komitmen bersama.

Di dalam Tim Riset Adversary AttackIQ, bagaimana penelitian diatur dan diprioritaskan, dan apa yang menjadi tantangan terbesar dalam menerjemahkan wawasan intelijen ancaman menjadi emulasi adversary yang dapat diambil tindakan?

Beberapa faktor mempengaruhi bagaimana kami memprioritaskan penelitian dalam Tim Riset Adversary AttackIQ. Fokus utama kami adalah pada emulasi adversary yang menyajikan risiko terbesar bagi segmen terbesar pelanggan kami, memastikan sumber daya dioptimalkan dan terkonsentrasi pada ancaman dengan dampak luas sebelum mengatasi yang sangat spesifik.

Lingkup ini mencakup baik adversary maupun keluarga malware yang diamati di alam liar. Kami terus melacak berbagai entitas, dengan prioritas yang didorong oleh kebutuhan operasional daripada direktif preskriptif. Ancaman yang muncul sering memicu reprioritisasi yang cepat. Ketegangan geopolitik yang meningkat, laporan yang meningkat tentang kerentanan kritis tertentu, atau advis yang terkonsentrasi dari CERT dengan cepat meningkatkan topik ke puncak antrian.

Salah satu tantangan utama kami adalah mempertahankan prioritas yang konsisten dan menyeimbangkan sumber daya untuk menghasilkan emulasi yang realistis dan canggih sambil memastikan efisiensi dan skalabilitas di seluruh siklus pengembangan. Kami menekankan pada pengembangan perilaku yang luas dan dapat digunakan kembali. Dengan mengidentifikasi kesamaan di seluruh adversary dan keluarga malware, kami fokus pada mereproduksi teknik dan prosedur yang secara konsisten muncul di seluruh playbook. Ini kemudian dapat disesuaikan dan diintegrasikan ke dalam emulasi lain, memungkinkan fleksibilitas dan skalabilitas yang lebih besar. Pendekatan ini memungkinkan kami untuk memprioritaskan perilaku dengan tingkat penggunaan kembali yang tinggi dan relevansi operasional daripada berinvestasi besar dalam implementasi yang sempit dan satu kali.

Di penelitian RomCom terbaru, apa yang menjadi titik infleksi kunci yang mempengaruhi transformasinya dari backdoor dasar menjadi platform yang dapat mendukung baik espionase dan ekstorsi keuangan, dan dalam keadaan apa malware beralih dari payload mandiri menjadi platform yang sepenuhnya terbentuk? 

Kasus RomCom sangat menarik karena pertama kali muncul pada Mei 2022 sebagai backdoor yang relatif sederhana yang dirancang terutama untuk akses jarak jauh dan ekstraksi data dasar. Titik infleksi pertama terjadi hanya sebulan kemudian dengan rilis RomCom 2.0, yang memperkenalkan peningkatan yang substansial yang mencerminkan toolset yang lebih matang dan terorientasi pada keselubungan, dioptimalkan untuk operasi espionase dan persistensi jangka panjang. Pembaruan ini secara signifikan meningkatkan kemampuan pengumpulan dan ekstraksi data, menandai pergeseran yang jelas menuju penggunaan strategis.

Titik infleksi berikutnya terjadi dengan pengenalan RomCom 3.0 pada Februari 2023, yang mengadopsi arsitektur modular yang terstruktur menjadi tiga komponen inti. Ini mewakili lompatan besar dalam fleksibilitas dan fungsionalitas, mendukung 42 perintah yang berbeda, banyak di antaranya adalah variasi halus dari satu sama lain, menekankan fokus operator pada adaptabilitas dan penyempurnaan operasional.

Versi selanjutnya terus fokus pada penyempurnaan kemampuan dan peningkatan ketahanan operasional. Selama waktu, RomCom berkembang dari backdoor yang dibuat khusus menjadi malware komoditas yang digunakan oleh kelompok eCrime, yang mengintegrasikannya ke dalam playbook mereka untuk memfasilitasi operasi kriminal yang beragam. Evolusi ini dibuktikan dengan integrasi RomCom dengan operasi ransomware Cuba, Industrial Spy, dan Underground, jelas menunjukkan bahwa itu telah terintegrasi ke dalam ekosistem adversarial yang lebih luas sebagai infrastruktur yang dibagikan. Perluasan ini pada akhirnya menarik perhatian adversary yang disponsori negara, terutama yang sejalan dengan kepentingan Rusia, yang mulai menggunakan RomCom sebagai platform polyvalent yang mendukung operasi espionase dan pengaruh strategis terhadap tujuan geopolitik mereka.

Konvergensi ini mengonfirmasi penilaian kami bahwa batas antara eCrime dan adversary yang disponsori negara semakin kabur. Perubahan dari payload mandiri ke platform yang sepenuhnya terbentuk terjadi tepat di persimpangan ini, ketika itu mulai digunakan untuk tujuan strategis dan intangible yang melampaui oportunisme atau keuntungan keuangan. Pada tahap itu, itu berhenti melayani tujuan taktis tunggal dan sebaliknya memungkinkan beberapa, terkadang bertentangan, tujuan operasional. Ini menunjukkan bahwa operator melihat payload sebagai infrastruktur yang dapat digunakan kembali daripada senjata yang dibuat khusus.

Anda telah mengamati batas yang semakin kabur antara aktivitas negara dan adversary eCrime. Dari perspektif Anda, apa yang menjadi penggerak utama di balik konvergensi ini, dan bagaimana defender harus berpikir secara berbeda ketika menilai atribusi dan motivasi dalam kasus-kasus ini? 

Konvergensi antara operasi negara dan eCrime sebagian besar didorong oleh faktor-faktor pragmatis di kedua sisi. Bagi adversary yang disponsori negara, tujuan adalah untuk dengan cepat memperoleh kemampuan yang telah divalidasi dan terbukti di medan perang. Menggunakan tooling atau infrastruktur yang ada memungkinkan mereka untuk memperoleh fleksibilitas operasional tanpa harus menginvestasikan sumber daya yang luas untuk mengembangkan alat khusus dari awal. Jika payload tangguh, efektif, dan tersedia, mengapa harus mengubahnya? Sebaliknya, bagi operator eCrime, akses ke sumber daya dan infrastruktur tingkat negara, termasuk intelijen, data target, dan saluran distribusi yang dilindungi, memungkinkan mereka untuk dengan cepat meningkatkan kemampuan mereka sambil menerima dukungan keuangan yang dijamin dengan risiko minimal.

RomCom menggambarkan konvergensi ini. Awalnya malware komoditas yang dirancang untuk memfasilitasi operasi ransomware, kemudian diadopsi dalam kegiatan yang sejalan dengan kepentingan strategis Rusia, menargetkan lembaga pemerintah Ukraina, entitas yang sejalan dengan NATO, dan organisasi kemanusiaan. Penilaian kami menunjukkan bahwa RomCom beralih dari alat yang didorong oleh keuntungan menjadi utilitas yang digunakan dalam operasi negara, mendukung baik espionase dan tujuan gangguan.

Evolusi ini menyoroti prinsip kunci: terlepas dari apakah adversary didorong oleh motif keuangan atau politik, dampak pada korban tetap sama. Dalam konteks ini, pertahanan yang diberitahu oleh ancaman menjadi penting. Organisasi harus memprioritaskan validasi pertahanan dan ketahanan terhadap perilaku yang realistis dan diamati, daripada fokus secara eksklusif pada atribusi atau motivasi yang diasumsikan.

Apa yang RomCom ungkapkan tentang konvergensi motif keuangan dan geopolitik di antara adversary? Secara khusus, bagaimana Anda menafsirkan tren yang berkembang dari kelompok yang sejalan dengan negara menggunakan infrastruktur eCrime sebagai instrumen pengaruh atau kemungkinan penyangkalan? 

RomCom menunjukkan evolusi dari kelompok kejahatan siber yang telah mempertahankan konsistensi operasional jangka panjang sambil terus memperluas jaringan afiliasi. Di sepanjang aktivitasnya, ia membangun koneksi yang jelas dengan beberapa keluarga ransomware, khususnya Cuba, Industrial Spy, dan Underground, mencerminkan integrasi yang dalam ke dalam ekosistem eCrime. Selama waktu, RomCom berkembang dari backdoor yang dibuat khusus menjadi platform komoditas yang digunakan oleh kelompok eCrime untuk memfasilitasi operasi kriminal yang beragam. Evolusi ini dibuktikan dengan integrasi RomCom dengan operasi ransomware, jelas menunjukkan bahwa itu telah terintegrasi ke dalam ekosistem adversarial yang lebih luas sebagai infrastruktur yang dibagikan.

RomCom juga menyoroti pola yang lebih luas dari adversary yang sejalan dengan negara yang mengadopsi atau memanfaatkan kembali tooling eCrime. Alat-alat ini terbukti efektif dan berfungsi sebagai pengaktif yang nyaman untuk tujuan strategis yang lebih luas. Rusia tetap menjadi contoh utama: laporan yang luas mendetail tentang kelompok kejahatan yang terkait dengan Rusia yang beroperasi sebagai perpanjangan dari operasi negara atau digunakan secara langsung untuk mendukungnya. Ini memungkinkan negara untuk mengalihkan operasi yang tidak dapat disangkal ke aktor kriminal, atau menyerap tooling dan infrastruktur mereka. Pada akhirnya, dinamika ini mengungkapkan hubungan yang saling menguntungkan: operator RomCom dan afiliasi mereka memperoleh pengaruh dan keuntungan keuangan, sementara negara memperoleh akses ke aset yang dapat diandalkan dan tidak dapat disangkal. Dalam lanskap eCrime, kesetiaan adalah transaksional, berakar pada pengaruh dan keuntungan.

Model ini menawarkan keuntungan strategis yang jelas, yang menjelaskan mengapa itu menjadi semakin umum. Kemitraan kejahatan memberikan negara akses dan kemampuan tanpa atribusi langsung, dan ketidakjelasan operasional yang dihasilkan mempersulit respons diplomatik dan hukum. Keluarga malware telah secara efektif menjadi instrumen kekuasaan, melengkapi dan tidak menggantikan spionase tradisional melalui infrastruktur kriminal yang dapat disangkal, skalabel, dan mandiri.

Malware modern sering tidak terbatas pada satu industri atau wilayah. Apa yang ini tunjukkan tentang prioritas atau keterbatasan penyerang, dan adakah sektor atau geografi yang Anda anggap “berikutnya” untuk ekspansi lintas domain? 

Sementara beberapa adversary mungkin membatasi diri mereka sendiri, banyak yang memanfaatkan kesempatan dan krisis sebagai vektor infeksi tambahan, mempercepat intrusi dan mengeksploitasi pertahanan yang terganggu atau tertekan. Motivasi mempengaruhi target tetapi jarang membatasinya. Kelompok yang termotivasi keuangan memprioritaskan tujuan dengan potensi bayaran tinggi atau ketergantungan operasional, seperti keuangan, prosesor pembayaran, dan perusahaan besar dengan persyaratan waktu aktif yang ketat. Sebaliknya, kelompok yang sejalan dengan negara memfokuskan pada sektor yang maju tujuan geopolitik, termasuk pemerintah, pertahanan, dan infrastruktur kritis. Namun, tumpang tindih antara motivasi ini semakin umum.

Taktik “semprot dan berdoa” dan komoditisasi akan berlanjut. Model Ransomware-as-a-Service (RaaS), tooling komoditas, dan pemindaian otomatis memungkinkan adversary yang termotivasi keuangan untuk memperluas set target mereka secara agresif. Setiap layanan yang terbuka dan dipertahankan dengan lemah secara potensial berada dalam cakupan. Ekspansi geografis mengikuti baik kesempatan maupun celah kematangan. Wilayah yang mengalami transformasi digital cepat tetapi dengan kematangan siber atau kapasitas respons insiden yang terbatas menarik untuk kompromi awal dan operasi penskalaan. Sebaliknya, target berharga tinggi di wilayah yang dipertahankan dengan baik sering terkena melalui kompromi rantai pasokan atau akses yang dialihkan. Menatap ke depan, ekspansi kemungkinan besar terjadi di wilayah yang berbatasan dengan konflik geopolitik aktif di mana pengumpulan intelijen mendukung kepentingan strategis dan kematangan pertahanan masih tertinggal dari kesophistikan adversary.

Ketika membuat emulasi adversary yang realistis, apa yang menjadi tantangan teknis terberat yang Anda hadapi? Bagaimana Anda memvalidasi bahwa emulasi tersebut cukup representatif dari ancaman dunia nyata, dan adakah perilaku yang tetap sulit untuk disimulasikan dengan andal?

Salah satu tantangan teknis terberat adalah mencapai kesetiaan perilaku tanpa memperkenalkan risiko operasional. Emulasi harus mereplikasi perilaku dunia nyata dengan cukup akurat untuk memvalidasi deteksi dan kontrol, sambil tetap aman enough untuk dijalankan di lingkungan produksi. Perdagangan ini konstan. Implementasi yang terlalu agresif berisiko mengganggu sistem atau menghasilkan false positive/negative yang berbahaya, sementara implementasi yang terlalu hati-hati kehilangan kesetiaan dan utilitas. Kami memprioritaskan emulasi “titik leher” adversary, perilaku kritis yang menentukan apakah serangan berhasil atau gagal, dan di mana visibilitas dan respons pertahanan paling penting. Dengan fokus pada kesetiaan perilaku ini, emulasi memberikan nilai tertinggi untuk cakupan deteksi dan validasi ketahanan.

Beberapa teknik sengaja dibatasi atau dihilangkan karena mereka menyajikan risiko yang tidak dapat diterima atau tidak dapat diemulasikan dengan setia tanpa merusak lingkungan. Jika implementasi sedikit salah, Anda baik menguji sesuatu yang adversary tidak pernah lakukan atau mengganggu sistem yang Anda coba lindungi. Tantangan lain muncul dari perilaku yang bergantung pada konteks lingkungan atau memerlukan akses yang diautentikasi. Perilaku jaringan juga terbatas: sebagai contoh, kami mereproduksi pola protokol dan perilaku beaconing untuk C2 tanpa terhubung ke infrastruktur yang berbahaya.

Membuat emulasi yang realistis adalah proses rekayasa iteratif: identifikasi, dokumentasi, implementasi, pengujian, validasi, dan penyempurnaan. Setiap iterasi menyeimbangkan kesetiaan, keamanan, dan relevansi operasional untuk memastikan emulasi yang realistis dan dapat diterapkan.

Menghadap ke depan tiga hingga lima tahun, apa tren dalam kesophistikan malware, metodologi penyerang, atau ekosistem ancaman yang Anda temukan paling mengkhawatirkan atau menarik, dan apa langkah dasar yang Anda sarankan untuk organisasi yang memulai perjalanan mereka dalam pertahanan yang diberitahu oleh ancaman dan emulasi adversary?

Salah satu tren yang paling menarik dan mengkhawatirkan adalah kesophistikan yang meningkat dari ekosistem kejahatan siber. Selama dekade terakhir, aktor eCrime telah memperluas pengaruh mereka secara dramatis.

Di tahun-tahun sebelumnya, jumlah peserta terbatas, dan pengaruhnya relatif marginal. Hari ini, ratusan entitas yang saling terkait dan berkolaborasi, masing-masing memenuhi peran yang spesifik. Ketergantungan ini membentuk ekosistem yang kompleks dan berorientasi bisnis yang menyerupai pasar yang sah dalam struktur dan efisiensi. Ekosistem ransomware menggambarkan ini dengan sempurna: lusinan keluarga aktif yang saling menggantikan dan berevolusi, menunjukkan jaringan hubungan yang semakin sulit untuk diuraikan.

Tren lain yang mendefinisikan adalah konvergensi antara operasi negara dan kejahatan. Tidak hanya pada tingkat operasional tetapi juga dalam pengembangan infrastruktur dan platform malware yang dibagikan. RomCom menggambarkan evolusi ini. Ia beralih dari komoditas yang didorong oleh keuntungan menjadi utilitas yang digunakan dalam operasi negara, mendukung baik espionase dan tujuan gangguan.

Bagi organisasi yang baru memulai pertahanan yang diberitahu oleh ancaman, langkah dasar adalah mengadopsi Kerangka MITRE ATT&CK sebagai bahasa bersama untuk memahami dan mendiskusikan perilaku adversary. ATT&CK menyediakan taksonomi perilaku yang memungkinkan defender untuk memetakan deteksi dan kontrol langsung ke teknik penyerang daripada indikator statis. Prioritaskan deteksi perilaku daripada pendekatan berbasis tanda tangan. Indikator kompromi berubah secara konstan, tetapi teknik adversary tetap relatif stabil, sebuah prinsip yang ditangkap dalam kerangka Pyramid of Pain. Terima kasih atas jawaban yang rinci, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi AttackIQ.

Terima kasih atas jawaban yang rinci, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi AttackIQ.