Francis Guibernau, Senior Adversary Research Engineer presso AttackIQ – Serie di interviste

Francis Guibernau è un Senior Adversary Research Engineer e membro del team di ricerca sugli avversari (Adversary Research Team, ART) di AttackIQ. Francis conduce ricerche approfondite e analisi sulle minacce per progettare e creare emulazioni di avversari altamente sofisticate e realistiche. Coordina inoltre il progetto di Cyber Threat Intelligence (CTI), che si concentra sulla ricerca, analisi, monitoraggio e documentazione degli avversari, delle famiglie di malware e degli incidenti di sicurezza informatica. Francis ha una vasta esperienza nel settore dell’intelligence sugli avversari, che comprende sia le minacce degli Stati nazionali che quelle del crimine informatico, nonché nella valutazione e gestione delle vulnerabilità, avendo lavorato in precedenza presso Deloitte e BNP Paribas.

AttackIQ è un’azienda di sicurezza informatica che consente alle organizzazioni di andare oltre le semplici ipotesi sulla loro sicurezza per arrivare a una convalida continua e basata sui dati. Emulando le tattiche degli avversari utilizzando il modello MITRE ATT&CK e offrendo test automatizzati e sicuri per la produzione in ambienti cloud, ibridi e on-premises, l’azienda aiuta a rilevare le lacune nella sicurezza dei controlli, dei processi e delle persone, consentendo ai leader di dare priorità alla risoluzione, giustificare gli investimenti e passare da una risposta reattiva alla resilienza proattiva.

Come sei entrato nel campo della sicurezza informatica e perché hai scelto di specializzarti in Cyber Threat Intelligence? Come ha plasmato la tua comprensione di come le minacce evolvono sia negli ecosistemi nazionali che in quelli criminali?

Il mio percorso nella sicurezza informatica non è stato pianificato; è accaduto per opportunità piuttosto che per design. È iniziato quando mi sono unito a un’organizzazione di sicurezza informatica matura, dove ho lavorato in due aree chiave: Valutazione e Gestione delle Vulnerabilità, e Cyber Threat Intelligence (CTI). Attraverso la Gestione delle Vulnerabilità, ho guadagnato una prospettiva difensiva, assicurandomi che i sistemi fossero mantenuti, aggiornati e resistenti agli attacchi. All’interno della CTI, ho adottato la mentalità dell’attaccante, analizzando le loro motivazioni, obiettivi e capacità. È qui che mi sono familiarizzato profondamente con il framework MITRE ATT&CK, che ho utilizzato per documentare le tattiche, le tecniche e le procedure (TTP) degli avversari e definire i loro playbook operativi.

Questa esperienza duplice mi ha dato una comprensione completa di come i difensori e gli attaccanti interagiscono all’interno di un ecosistema in continua evoluzione. La CTI è diventata rapidamente una mia passione personale. Il suo scopo strategico di comprendere come gli avversari operano, evolvono e influenzano l’un l’altro mi è sembrato quasi predestinato. Sono grato di continuare a lavorare in questo settore, osservando e analizzando la crescente complessità del panorama delle minacce globali, dove gli avversari sponsorizzati dagli Stati e quelli del crimine informatico, nonostante le loro diverse motivazioni, si intersecano e influenzano sempre più le operazioni l’uno dell’altro.

Guardando indietro, quale progetto o esperienza ha segnato un punto di svolta nella tua carriera e ha plasmato la tua prospettiva sulla sicurezza informatica? 

Un momento cruciale è arrivato quando ho iniziato a condurre ricerche e a documentare le TTP che gli avversari e il malware utilizzano per rilevare e evitare ambienti controllati. Questo sforzo è diventato la base per “Awareness dell’ambiente“, un progetto di ricerca che ho condotto con il mio collega e amico Ayelen Torello, con cui ho ora l’opportunità di lavorare insieme ad AttackIQ. La nostra ricerca si è concentrata sull’catalogazione dei diversi metodi che gli avversari utilizzano per riconoscere e evitare ambienti sandbox o virtualizzati, consentendo loro di rimanere non rilevati durante l’analisi automatizzata. Il whitepaper risultante è stato successivamente adottato come base per la tecnica “T1497 – Virtualization/Sandbox Evasion” nel framework MITRE ATT&CK.

Durante questa indagine, ho assistito all’evoluzione continua degli avversari, con i loro payload che diventavano sempre più sofisticati e la loro capacità di evitare la rilevazione automatizzata migliorava, aumentando le loro possibilità di compromettere con successo obiettivi reali. Questa esperienza ha fondamentalmente plasmato la mia comprensione dell’adattabilità degli avversari e del ciclo di innovazione costante che definisce le minacce moderne.

Da quando ti sei unito ad AttackIQ nel 2021 come Adversary Research Engineer e hai guidato l’istituzione dell’iniziativa di Cyber Threat Intelligence, come sono evolute le tue responsabilità e come bilanci la coordinazione del progetto CTI, la ricerca strategica sulle minacce e lo sviluppo di emulazioni di avversari? 

Creare il programma di Cyber Threat Intelligence (CTI) ad AttackIQ è stato un compito complesso. Dovevamo ottenere visibilità su un ampio spettro di minacce rapidamente. Come fornitore di servizi, la nostra attenzione non poteva essere limitata a un singolo settore, regione o nazione. Invece, abbiamo bisogno di una base di conoscenze che comprenda sia gli avversari che il malware, dalle famiglie di commodity a quelle costruite su misura. Una volta stabilito il fondamento, abbiamo iniziato a concentrarci su ciò che chiamo “pesi massimi”: entità altamente attive e impattanti che influenzano più settori, regioni e nazioni. Questo approccio ci consente di dare priorità alle minacce più rilevanti per la nostra base di clienti.

Data la rapida evoluzione del panorama delle minacce, bilanciare la raccolta di intelligence, l’analisi delle minacce e l’emulazione degli avversari è intrinsecamente complesso. Ogni tipo di emulazione presenta sfide distinte. Da un lato, le emulazioni degli Stati nazionali sono generalmente altamente sofisticate, adattate a obiettivi specifici, caratterizzate da tempi di permanenza prolungati e guidate da motivazioni politiche. Riprodurre il loro comportamento richiede un’analisi approfondita, pazienza e precisione, rendendole intellettualmente stimolanti e gratificanti da emulare. Dall’altro lato, le emulazioni del crimine informatico sono rapide e opportuniste. Questi avversari introducono nuove tecniche, operano con tempi di permanenza più brevi e spesso impattano più settori e regioni. Il loro utilizzo di strumenti condivisi e di malware di commodity, con TTP sovrapposte tra i gruppi, rende i loro playbook dinamici e affascinanti da riprodurre.

Trovare il giusto equilibrio è un processo strategico. Allineiamo le priorità di ricerca e di emulazione con le esigenze dei clienti e gli sviluppi globali, comprese le tensioni geopolitiche, le vulnerabilità critiche di recente scoperta e le direttive di organizzazioni internazionali come la Cybersecurity and Infrastructure Security Agency (CISA) e il National Cyber Security Centre (NCSC). In ultima analisi, questo lavoro è uno sforzo di squadra. Il team di ricerca sugli avversari (ART) è composto da individui incredibilmente talentuosi le cui contribuzioni rendono possibili emulazioni realistiche e sicure. La CTI è solo una parte del processo; trasformare l’intelligence in emulazioni autentiche e controllate è una sfida complessa che richiede collaborazione, precisione e impegno condiviso.

Dentro il team di ricerca sugli avversari di AttackIQ, come è strutturata e prioritizzata la ricerca e quali sono state le sfide più significative nel trasformare le informazioni di intelligence sulle minacce in emulazioni di avversari azionabili?

Vari fattori influenzano come priorizziamo la ricerca all’interno del team di ricerca sugli avversari di AttackIQ. La nostra attenzione principale è sull’emulazione degli avversari che rappresentano il rischio più significativo per il segmento più ampio dei nostri clienti, assicurandoci che le risorse siano ottimizzate e concentrate verso minacce ad alto impatto prima di affrontare quelle altamente specifiche.

Questo ambito include sia gli avversari che le famiglie di malware osservate nel mondo reale. Continuiamo a monitorare un’ampia gamma di entità, con priorità guidate da necessità operative piuttosto che da direttive prescrittive. Le minacce emergenti spesso richiedono una rapida riprioritizzazione. L’aumento delle tensioni geopolitiche, il reporting aumentato su una specifica e critica vulnerabilità o le concentrazioni di avvisi CERT elevano rapidamente gli argomenti in cima alla lista.

Una delle nostre principali sfide è mantenere una priorità coerente e bilanciare le risorse per fornire emulazioni realistiche e sofisticate, garantendo al contempo efficienza e scalabilità nei cicli di sviluppo. Poniamo un forte accento sullo sviluppo di comportamenti ampi e riutilizzabili. Identificando le somiglianze tra avversari e famiglie di malware, ci concentriamo sulla riproduzione di tecniche e procedure che appaiono costantemente in più playbook. Questi possono quindi essere adattati e integrati in altre emulazioni, consentendoci una maggiore flessibilità e scalabilità. Questo approccio ci consente di dare priorità ai comportamenti con alta riutilizzabilità e rilevanza operativa piuttosto che investire pesantemente in implementazioni strette e una tantum. Un ritmo di produzione costante, fornendo emulazioni flessibili, mirate e significative.

Nella tua recente ricerca su RomCom, quali sono stati i punti di svolta chiave che hanno influenzato la sua trasformazione da un semplice backdoor in una piattaforma versatile che supporta sia lo spionaggio che l’estorsione finanziaria, e in quali circostanze il malware passa da un payload autonomo a una piattaforma completamente formata? 

Il caso di RomCom è particolarmente affascinante perché è apparso per la prima volta nel maggio 2022 come un backdoor relativamente semplice progettato principalmente per l’accesso remoto e la semplice esfiltrazione di dati. Il primo punto di svolta significativo si è verificato solo un mese dopo con il rilascio di RomCom 2.0, che ha introdotto miglioramenti sostanziali che riflettevano uno strumento più maturo e orientato alla furtività, ottimizzato per operazioni di spionaggio e persistenza a lungo termine. Questi aggiornamenti hanno migliorato notevolmente le capacità di raccolta e esfiltrazione dei dati, segnalando un chiaro spostamento verso un uso più strategico.

Il punto di svolta successivo è arrivato con l’introduzione di RomCom 3.0 nel febbraio 2023, che ha adottato un’architettura modulare strutturata in tre componenti principali. Ha rappresentato un notevole balzo in termini di flessibilità e funzionalità, supportando 42 comandi distinti, molti dei quali erano variazioni sottili gli uni degli altri, evidenziando la focalizzazione dell’operatore sulla flessibilità e sul raffinamento operativo.

Le versioni successive hanno continuato a concentrarsi sul raffinamento delle capacità e sul miglioramento della resilienza operativa. Nel tempo, RomCom è evoluta da un backdoor costruito su misura a un malware di commodity sfruttato da gruppi del crimine informatico, che lo hanno integrato nei loro playbook per facilitare e consentire operazioni criminali diverse. Questa evoluzione è stata evidenziata dall’integrazione di RomCom con le operazioni di ransomware di Cuba, Industrial Spy e Underground, indicando chiaramente che era diventata parte di un ecosistema avversario più ampio come infrastruttura condivisa. Questa adozione diffusa ha inevitabilmente attirato l’attenzione di avversari allineati con gli Stati, in particolare quelli allineati con gli interessi russi, che hanno iniziato a sfruttare RomCom come piattaforma polivalente per supportare operazioni di spionaggio e influenza strategica in linea con i loro obiettivi geopolitici.

Questa convergenza ha confermato la nostra valutazione che i confini tra gli avversari del crimine informatico e quelli degli Stati nazionali sono sempre più sfumati. La transizione da payload autonomo a piattaforma completamente formata si verifica proprio in questo punto di intersezione, quando inizia a essere sfruttata per obiettivi strategici e sofisticati che vanno oltre l’opportunismo o il guadagno finanziario. A quel punto, smette di servire un singolo scopo tattico e inizia a supportare più obiettivi operativi, a volte contraddittori. Ciò suggerisce che gli operatori considerano il payload come un’infrastruttura riutilizzabile piuttosto che come un’arma costruita su misura.

Hai osservato confini sempre più sfumati tra l’attività degli Stati nazionali e quella degli avversari del crimine informatico. Da una prospettiva, quali sono i principali driver di questa convergenza e come i difensori dovrebbero pensare diversamente quando valutano l’attribuzione e la motivazione in questi casi? 

La convergenza tra le operazioni degli Stati nazionali e del crimine informatico è principalmente guidata da fattori pragmatici su entrambi i fronti. Per gli avversari sponsorizzati dagli Stati, l’obiettivo è acquisire rapidamente capacità già validate e provate sul campo di battaglia. Sfruttare strumenti o infrastrutture esistenti consente loro di acquisire flessibilità operativa senza dedicare risorse estese allo sviluppo di strumenti personalizzati. Se un payload è resiliente, efficace e disponibile, perché reinventarlo? Al contrario, per gli operatori del crimine informatico, l’accesso a risorse e infrastrutture di livello statale, compresa l’intelligence, i dati di targeting e i canali di distribuzione protetti, consente una rapida scalabilità delle capacità, ricevendo al contempo finanziamenti garantiti con rischi minimi.

RomCom esemplifica questa convergenza. Inizialmente era un malware di commodity progettato per facilitare operazioni di ransomware, ma è stato successivamente adottato in attività allineate con gli interessi strategici russi, bersagliando istituzioni governative, personale militare, organizzazioni umanitarie e paesi allineati con la NATO. La nostra valutazione indica che RomCom è passato da uno strumento puramente guidato dal profitto a una utility versatile sfruttata in operazioni di Stati nazionali, supportando sia lo spionaggio che la disruption. Questa evoluzione evidenzia un principio chiave: indipendentemente dal fatto che l’avversario sia motivato finanziariamente o politicamente, l’impatto sulla vittima rimane lo stesso. In questo contesto, la difesa informata dalle minacce diventa essenziale. Le organizzazioni dovrebbero dare priorità alla convalida delle difese e della resilienza contro comportamenti realistici e osservati, piuttosto che concentrarsi esclusivamente sull’attribuzione o sulla presunta motivazione.

Cosa rivela RomCom sulla convergenza delle motivazioni finanziarie e geopolitiche tra gli avversari? In particolare, come interpreti la crescente tendenza di gruppi allineati con gli Stati a sfruttare le infrastrutture del crimine informatico come strumenti di influenza o di deniabilità? 

RomCom dimostra l’evoluzione di un gruppo di crimine informatico che ha mantenuto una coerenza operativa a lungo termine, mentre estendeva costantemente la sua rete di affiliazioni. Nel corso della sua attività, ha stabilito collegamenti chiari con più famiglie di ransomware, in particolare Cuba, Industrial Spy e Underground, riflettendo un’integrazione profonda all’interno dell’ecosistema del crimine informatico. Col tempo, è evoluta da un backdoor costruito su misura a un malware di commodity sfruttato da gruppi del crimine informatico per facilitare operazioni criminali diverse. Questa evoluzione è stata evidenziata dall’integrazione di RomCom con le operazioni di ransomware, indicando chiaramente che era diventata parte di un ecosistema avversario più ampio come infrastruttura condivisa. Questa adozione diffusa ha inevitabilmente attirato l’attenzione di avversari allineati con gli Stati, in particolare quelli allineati con gli interessi russi, che hanno iniziato a sfruttare RomCom come piattaforma polivalente per supportare operazioni di spionaggio e influenza strategica in linea con i loro obiettivi geopolitici.

RomCom sottolinea anche un modello più ampio di gruppi di crimine informatico che mantengono una coerenza operativa a lungo termine, mentre estendono la loro rete di affiliazioni. La sua trasformazione da strumento puramente guidato dal profitto a utility versatile sfruttata in operazioni di Stati nazionali supporta sia lo spionaggio che la disruption, dimostrando un chiaro spostamento verso uno strumento di influenza geopolitica. Questa evoluzione conferma la nostra valutazione che i confini tra gli avversari del crimine informatico e quelli degli Stati nazionali sono sempre più sfumati.

Questo modello offre chiari vantaggi strategici, il che spiega perché sta diventando sempre più comune. Le partnership con il crimine informatico forniscono agli Stati l’accesso e le capacità senza attribuzione diretta, e l’ambiguità operativa che ne deriva complica le risposte diplomatiche e legali. Le famiglie di malware sono diventate efficacemente strumenti di stato, aumentando lo spionaggio tradizionale attraverso infrastrutture criminali che sono deniabili, scalabili e autosufficienti.

Il malware moderno spesso non si limita a un’industria o a una regione. Cosa suggerisce questo sulla priorità o sui vincoli degli attaccanti, e ci sono settori o geografie che ritieni siano “prossimi” per l’espansione cross-domain? 

Mentre alcuni avversari possono autoimporre vincoli, molti trattano l’urgenza e le crisi come vettori di infezione aggiuntivi, accelerando le intrusioni e sfruttando difese distratte o tese. La motivazione influenza il targeting, ma raramente lo limita. I gruppi motivati finanziariamente danno priorità agli obiettivi con potenziali pagamenti elevati o dipendenze operative, come finanza, processori di pagamento e grandi imprese con requisiti di uptime rigorosi. Al contrario, gli avversari allineati con gli Stati si concentrano su settori che avanzano gli obiettivi geopolitici, compresi governo, difesa e infrastrutture critiche. Tuttavia, l’overlap tra queste motivazioni è sempre più comune.

Le tattiche “spray-and-pray” e la commoditizzazione persistono. I modelli Ransomware-as-a-Service (RaaS) e gli strumenti di commodity consentono agli avversari motivati finanziariamente di ampliare aggressivamente i loro set di bersagli. Qualsiasi servizio esposto e debolmente difeso è potenzialmente in scope. L’espansione geografica segue sia l’opportunità che i gap di maturità. Le regioni in rapida trasformazione digitale ma con limitata maturità o capacità di risposta agli incidenti sono attraenti per il compromissione iniziale e le operazioni di scaling. Al contrario, gli obiettivi ad alto valore in regioni ben difese sono spesso impattati attraverso compromissioni della catena di approvvigionamento o accessi esterni. Guardando avanti, l’espansione è probabile in regioni adiacenti a conflitti geopolitici attivi, dove la raccolta di intelligence supporta gli interessi strategici e la maturità difensiva è ancora in ritardo rispetto alla sofisticazione degli avversari.

Quando crei emulazioni di avversari realistici, quali sono le sfide tecniche più difficili che incontri? Come validi che queste emulazioni siano sufficientemente rappresentative di minacce del mondo reale e ci sono comportamenti che rimangono particolarmente difficili da simulare in modo affidabile?

Una delle sfide tecniche più difficili è raggiungere la fedeltà del comportamento senza introdurre rischi operativi. Le emulazioni devono replicare i comportamenti del mondo reale con sufficiente precisione per convalidare la rilevazione e la prevenzione, rimanendo al contempo abbastanza sicure da poter essere eseguite in ambienti di produzione. Questo trade-off è costante. Implementazioni eccessivamente aggressive rischiano di destabilizzare i sistemi o produrre falsi positivi/negativi pericolosi, mentre quelle eccessivamente caute perdono fedeltà e utilità. Prioritizziamo l’emulazione dei “punti di strangolamento” degli avversari, i comportamenti critici che determinano se un’intrusione abbia successo o fallisca, e dove la visibilità e la risposta difensiva sono più importanti. Concentrando la fedeltà su questi comportamenti decisivi, le emulazioni forniscono il valore più alto per la copertura della rilevazione e la convalida della resilienza.

Alcune tecniche sono intenzionalmente limitate o omesse perché presentano rischi inaccettabili o non possono essere fedelmente emulate senza danneggiare l’ambiente. Se si esegue un’implementazione leggermente errata, si rischia di testare qualcosa che l’avversario non fa realmente o di destabilizzare il sistema che si sta cercando di proteggere. Altre sfide derivano da comportamenti che dipendono dal contesto ambientale o richiedono accesso autenticato. I comportamenti in rete sono vincolati: ad esempio, riproduciamo modelli di protocollo e comportamenti di beaconing per C2 senza connetterci a infrastrutture maliziose.

Creare emulazioni realistiche è quindi un processo di ingegneria iterativo: identificazione, documentazione, implementazione, testing, convalida e raffinamento. Ogni iterazione bilancia fedeltà, sicurezza e rilevanza operativa per garantire che le emulazioni siano realistiche e deployabili.

Guardando tre o cinque anni avanti, quali tendenze nella sofisticazione del malware, nella metodologia degli attaccanti o negli ecosistemi delle minacce ti sembrano più preoccupanti o affascinanti e quali passi fondamentali consiglieresti alle organizzazioni che iniziano il loro percorso nella difesa informata dalle minacce e nell’emulazione degli avversari?

Una delle tendenze più affascinanti e preoccupanti è l’aumento della sofisticazione degli ecosistemi del crimine informatico. Negli ultimi dieci anni, gli attori del crimine informatico hanno espanso la loro influenza in modo drammatico.

Negli anni precedenti, il numero di partecipanti era limitato e la loro influenza era relativamente marginale. Oggi, centinaia di entità interconnesse coesistono e collaborano, ognuna svolgendo ruoli specializzati. Questa interdipendenza forma un ecosistema complesso e business-oriented che somiglia a mercati legittimi per struttura ed efficienza. L’ecosistema del ransomware ne è l’esempio perfetto: decine di famiglie attive coesistono, evolvono e si succedono. Questo costante cambiamento rivela una rete intricata di relazioni che è sempre più difficile districare.

Un’altra tendenza definente è la convergenza tra le operazioni degli Stati e quelle del crimine informatico. Non solo a livello operativo, ma anche nello sviluppo di infrastrutture e piattaforme di malware condivise. RomCom esemplifica questa evoluzione. È passato da un commodity puramente guidato dal profitto a una utility versatile sfruttata in operazioni di Stati nazionali, supportando sia lo spionaggio che la disruption. Il suo targeting di istituzioni governative, personale militare, organizzazioni umanitarie e paesi allineati con la NATO dimostra uno spostamento verso uno strumento di influenza geopolitica, supportando gli obiettivi di intelligence russi mentre mantiene la sua versatilità nel crimine informatico.

Per le organizzazioni che sono nuove alla difesa informata dalle minacce, il passo fondamentale è adottare il framework MITRE ATT&CK come linguaggio condiviso per comprendere e discutere il comportamento degli avversari. ATT&CK fornisce una tassonomia comportamentale che consente ai difensori di mappare le rilevazioni e i controlli direttamente alle tecniche degli attaccanti piuttosto che agli indicatori statici. Dare priorità alla rilevazione comportamentale rispetto a quella basata sui segnature. Gli indicatori di compromissione cambiano costantemente, ma le tecniche degli avversari rimangono relativamente stabili, un principio catturato nel framework della Pyramid of Pain. Grazie per le risposte dettagliate, i lettori che desiderano saperne di più possono visitare AttackIQ.