Francis Guibernau, Senior Adversary Research Engineer bij AttackIQ – Interview Series

Francis Guibernau is een Senior Adversary Research Engineer en lid van het Adversary Research Team (ART) bij AttackIQ. Francis voert diepgaand bedreigingsonderzoek en -analyse uit om zeer geavanceerde en realistische adversary-emulaties te ontwerpen en te maken. Hij coördineert ook het Cyber Threat Intelligence (CTI)-project, dat zich richt op het onderzoeken, analyseren, volgen en documenteren van adversaries, malware-families en cybersecurity-incidenten. Francis heeft uitgebreide ervaring met adversary-intelligence, waaronder zowel nation-state- als eCrime-bedreigingen, evenals met kwetsbaarheidsbeoordeling en -beheer, aangezien hij eerder bij Deloitte en BNP Paribas heeft gewerkt.

AttackIQ is een cybersecurity-bedrijf dat organisaties in staat stelt om verder te gaan dan enkele aannamen over hun verdediging naar continue, gegevensgestuurde validatie. Door adversary-tactieken te emuleren met behulp van het MITRE ATT&CK®-model en geautomatiseerde, productie-veilige tests aan te bieden in cloud-, hybride en on-premises-omgevingen, helpt het bedrijf bij het blootleggen van beveiligingsgaten in controles, processen en mensen – waardoor leiders prioriteit kunnen geven aan herstel, investeringen kunnen rechtvaardigen en kunnen overschakelen van reactieve cyber-reactie naar proactieve veerkracht.

Hoe bent u in het cybersecurity-veld terechtgekomen, en waarom hebt u besloten om u te specialiseren in Cyber Threat Intelligence? Hoe heeft CTI uw begrip van hoe bedreigingen evolueren in zowel nation-state- als criminele ecosystemen gevormd?

Mijn pad naar cybersecurity was niet gepland; het gebeurde door een gelegenheid in plaats van ontwerp. Het begon toen ik een volwassen cybersecurity-organisatie binnenkwam, waar ik in twee sleutelgebieden werkte: Vulnerability Assessment en Management, en Cyber Threat Intelligence (CTI). Via Vulnerability Management kreeg ik een verdedigersperspectief – ervoor zorgend dat systemen goed werden onderhouden, gepatcht en bestand waren tegen aanvallen. Binnen CTI nam ik de aanvallersmentaliteit aan, waarbij ik hun motivaties, doelstellingen en capaciteiten analyseerde. Dit is waar ik diep vertrouwd raakte met het MITRE ATT&CK Framework, dat ik gebruikte om adversary Tactics, Techniques en Procedures (TTP’s) te documenteren en hun operationele playbooks te definiëren.

Deze dubbele ervaring gaf me een uitgebreid begrip van hoe verdedigers en aanvallers interactie hebben binnen een constant evoluerend ecosysteem. CTI werd al snel een persoonlijke passie. De strategische doelstelling van het begrijpen van hoe adversaries opereren, evolueren en elkaars invloed ondergaan, voelde bijna voorbestemd. Ik ben dankbaar dat ik binnen deze discipline kan blijven werken, waarbij ik de groeiende complexiteit van het wereldwijde bedreigingslandschap observeer en analyseer, waar staatssponsoreerde en eCrime-adversaries, ondanks hun verschillende motivaties, steeds meer met elkaar verweven raken en elkaars operaties beïnvloeden.

Kijkend terug, welk specifiek project of ervaring markeerde een keerpunt in uw carrière en vormde uw perspectief op cybersecurity?

Een belangrijk moment kwam toen ik begon met het onderzoeken en documenteren van de TTP’s die adversaries en malware gebruiken om gecontroleerde omgevingen te detecteren en te ontwijken. Dit werd de basis voor “Environment Awareness“, een onderzoeksproject dat ik uitvoerde met mijn collega en vriend Ayelen Torello, met wie ik nu de kans heb om samen te werken bij AttackIQ. Ons onderzoek richtte zich op het catalogiseren van de verschillende methoden die adversaries gebruiken om te herkennen en te vermijden sandbox- of virtualiseerde omgevingen, waardoor ze ongedetecteerd konden blijven tijdens geautomatiseerde analyse. Het resulterende whitepaper werd later overgenomen als de basis voor techniek “T1497 – Virtualization/Sandbox Evasion” in het MITRE ATT&CK Framework.

Tijdens dit onderzoek zag ik de voortdurende evolutie van adversaries, met hun payloads die steeds geavanceerder werden en hun vermogen om geautomatiseerde detectiesystemen te ontwijken, waardoor hun kansen op een succesvolle inbraak toenamen. Deze ervaring vormde fundamenteel mijn begrip van de aanpasbaarheid van adversaries en de constante innovatiecyclus die moderne bedreigingen kenmerkt.

Sinds u in 2021 bij AttackIQ bent gekomen als Adversary Research Engineer en de oprichting van de Cyber Threat Intelligence-initiatief heeft geleid, hoe zijn uw verantwoordelijkheden geëvolueerd, en hoe balanceert u de coördinatie van het CTI-project, strategisch bedreigingsonderzoek en de ontwikkeling van adversary-emulaties?

Het opbouwen van het Cyber Threat Intelligence (CTI)-programma bij AttackIQ was een complexe taak. We moesten zichtbaarheid verkrijgen over een breed spectrum van bedreigingen. Als dienstverlener konden we ons niet beperken tot één sector, regio of natie. In plaats daarvan hadden we een kennisbasis nodig die zowel adversaries als malware omvatte, van staatssponsorende tot eCrime-groepen en van commodity- tot custom-built families. Zodra de basis was gelegd, begonnen we ons te concentreren op wat ik “zware jongens” noem: zeer actieve en invloedrijke entiteiten die meerdere sectoren, regio’s en landen beïnvloeden. Deze aanpak stelt ons in staat om prioriteit te geven aan bedreigingen die het meest relevant zijn voor onze klanten.

Gezien het snel veranderende bedreigingslandschap is het in evenwicht brengen van inlichtingengathering, bedreigingsanalyse en adversary-emulatie inherent complex. Elk type emulatie brengt unieke uitdagingen met zich mee. Aan de ene kant zijn nation-state-emulaties meestal zeer geavanceerd, aangepast aan specifieke doelstellingen, gekenmerkt door verlengde verblijftijden en gedreven door politieke motivaties. Het reproduceren van hun gedrag vereist diepgaande analyse, geduld en precisie, waardoor ze intellectueel uitdagend en lonend zijn om te emuleren. Aan de andere kant zijn eCrime-emulaties snel en opportunistisch. Deze adversaries introduceren nieuwe technieken, opereren met kortere verblijftijden en hebben vaak invloed op meerdere sectoren en regio’s. Hun gebruik van gedeelde, off-the-shelf-tools en commodity-malware, met overlappende TTP’s tussen groepen, maakt hun playbooks dynamisch en fascinerend om te reproduceren.

Het vinden van het juiste evenwicht is een strategisch proces. We aligneren onderzoeks- en emulatieprioriteiten met klantvereisten en mondiale ontwikkelingen, waaronder geopolitieke spanningen, onlangs bekendgemaakte kritieke kwetsbaarheden en adviezen van internationale organisaties zoals de Cybersecurity and Infrastructure Security Agency (CISA) en de National Cyber Security Centre (NCSC). Uiteindelijk is dit een teaminspanning. Het Adversary Research Team (ART) bestaat uit uitzonderlijk getalenteerde individuen wiens bijdragen realistische en veilige emulaties mogelijk maken. CTI is slechts één onderdeel van het proces; het omzetten van inlichtingen in authentieke, gecontroleerde emulaties is een complexe uitdaging die samenwerking, precisie en gedeelde toewijding vereist.

Binnen het Adversary Research Team van AttackIQ, hoe is onderzoek gestructureerd en geprioriteerd, en wat zijn de meest significante uitdagingen geweest bij het omzetten van bedreigingsinlichtingen in actiegerichte adversary-emulaties?

Meerdere factoren beïnvloeden hoe we onderzoek binnen het Adversary Research Team van AttackIQ prioriteren. Onze primaire focus ligt op het emuleren van adversaries die het grootste risico vormen voor het grootste segment van onze klanten, waarbij we ervoor zorgen dat middelen geoptimaliseerd en geconcentreerd zijn op breed-impact-bedreigingen voordat we ons richten op zeer specifieke bedreigingen.

Dit omvat zowel adversaries als malware-families die in het wild worden waargenomen. We volgen voortdurend een breed scala aan entiteiten, waarbij prioriteit wordt bepaald door operationele noodzaak in plaats van voorschriften. Nieuwe bedreigingen leiden vaak tot snelle herprioritisering. Escalerende geopolitieke spanningen, toegenomen rapportage over een specifieke en kritieke kwetsbaarheid of geconcentreerde CERT-adviezen verhogen snel onderwerpen naar de top van de wachtrij.

Een van onze primaire uitdagingen is het behouden van consistentie in prioriteit en het balanceren van middelen om realistische en geavanceerde emulaties te leveren, terwijl we ervoor zorgen dat efficiëntie en schaalbaarheid worden behaald tijdens ontwikkelingscycli. We leggen sterke nadruk op het ontwikkelen van brede, herbruikbare gedragingen. Door gemeenschappelijkheden te identificeren tussen adversaries en malware-families, richten we ons op het repliceren van technieken en procedures die consistent verschijnen in meerdere playbooks. Deze kunnen vervolgens worden aangepast en geïntegreerd in andere emulaties, waardoor grotere flexibiliteit en schaalbaarheid ontstaat. Deze aanpak stelt ons in staat om gedragingen met hoge herbruikbaarheid en operationele relevantie te prioriteren in plaats van zwaar te investeren in smalle, eenmalige implementaties.

In uw recente RomCom-onderzoek, wat waren de sleutelinflectiepunten die de transformatie van een basisbackdoor naar een veelzijdig platform ondersteunend zowel espionage als financiële afpersing beïnvloedden, en onder welke omstandigheden gaat malware over van een standalone-payload naar een volledig platform?

Het geval van RomCom is bijzonder fascinerend omdat het in mei 2022 voor het eerst verscheen als een relatief eenvoudige backdoor ontworpen voor remote toegang en basisgegevensexfiltratie. Het eerste grote inflectiepunt vond plaats een maand later met de release van RomCom 2.0, die aanzienlijke verbeteringen introduceerde die een meer volwassen, stealth-georiënteerd toolset weergaven, geoptimaliseerd voor espionage-operaties en langetermijnpersistentie. Deze updates verbeterden de gegevensexfiltratie- en -verzameling aanzienlijk, wat een duidelijke verschuiving naar een meer strategisch gebruikscase aangaf.

Het volgende inflectiepunt kwam met de introductie van RomCom 3.0 in februari 2023, die een modulair ontwerp introduceerde, gestructureerd in drie kerncomponenten. Het vertegenwoordigde een aanzienlijke sprong in flexibiliteit en functionaliteit, ondersteunend 42 verschillende opdrachten, waarvan veel subtiele variaties van elkaar waren, wat de focus van de operator op aanpasbaarheid en operationele verfijning benadrukte.

Volgende versies bleven zich richten op het verfijnen van capaciteiten en het verbeteren van operationele veerkracht. In de loop van de tijd evolueerde RomCom van een doelgebouwde backdoor naar een commodity-malware die door eCrime-groepen werd gebruikt, die het integreerden in hun playbooks om diverse criminele operaties te faciliteren en mogelijk te maken. Deze evolutie werd aangetoond door de integratie van RomCom met de Cuba-, Industrial Spy- en Underground-ransomware-operaties, wat duidelijk aangaf dat het onderdeel was geworden van een bredere adversariale ecosystem als gedeelde infrastructuur. Deze wijdverbreide adoptie trok onvermijdelijk de aandacht van staatssponsoreerde adversaries, met name die gelieerd aan Russische belangen, die RomCom begonnen te gebruiken als een polyvalent platform dat zowel espionage als strategische invloedoperaties ondersteunde.

Deze convergentie bevestigde onze beoordeling dat de grenzen tussen eCrime en staatssponsoreerde adversaries steeds vaker vervaagd raken. De overgang van standalone-payload naar volledig platform vindt precies op dit snijvlak plaats, wanneer het wordt gebruikt voor geavanceerde, strategische en intangible doelstellingen die verder gaan dan opportunisme of financieel gewin. Op dat moment dient het niet langer een enkel tactisch doel, maar maakt het in plaats daarvan meerdere, soms tegenstrijdige, operationele doelstellingen mogelijk. Dit suggereert dat de operators het payload zien als herbruikbare infrastructuur in plaats van een doelgebouwd wapen.

U heeft steeds vaker vervaagde grenzen tussen staatssponsoreerde activiteit en eCrime-adversaries waargenomen. Vanuit uw perspectief, wat zijn de primaire drijvende krachten achter deze convergentie, en hoe zouden verdedigers anders moeten denken bij het beoordelen van attributie en motivatie in deze gevallen?

De convergentie tussen staatssponsoreerde en eCrime-operaties wordt voornamelijk gedreven door pragmatische factoren aan beide kanten. Voor staatssponsoreerde adversaries is het doel om snel capaciteiten te verwerven die al zijn gevalideerd en bewezen op het slagveld. Het gebruik van bestaande tooling of infrastructuur stelt hen in staat om operationele flexibiliteit te verkrijgen zonder uitgebreide middelen te hoeven besteden aan het ontwikkelen van aangepaste tools vanaf het begin. Als een payload robuust, effectief en beschikbaar is, waarom zou je het dan opnieuw uitvinden? Aan de andere kant stellen eCrime-operators toegang tot staatssponsoreerde middelen en infrastructuur, waaronder inlichtingen, doelwitgegevens en beveiligde distributiekanalen, in staat om hun capaciteiten snel te vergroten, terwijl ze gegarandeerde financiële steun ontvangen met minimaal risico.

RomCom is een voorbeeld van deze convergentie. Aanvankelijk was het een commodity-malware ontworpen om ransomware-operaties te faciliteren, maar later werd het aangewend in activiteiten die gelieerd waren aan Russische strategische belangen, waarbij het zich richtte op Oekraïense regeringsinstellingen, NAVO-geallieerde entiteiten en humanitaire organisaties. Onze beoordeling geeft aan dat RomCom is overgegaan van een puur winstgedreven tool naar een utility die wordt gebruikt in staatssponsoreerde operaties, ondersteunend zowel espionage als disruptie-doelstellingen.

Deze evolutie benadrukt een belangrijk principe: ongeacht of de adversary financieel of politiek gemotiveerd is, het effect op het slachtoffer blijft hetzelfde. In deze context wordt threat-informed defense essentieel. Organisaties zouden prioriteit moeten geven aan het valideren van hun verdediging en veerkracht tegen realistische, waargenomen gedragingen, in plaats van zich uitsluitend te concentreren op attributie of veronderstelde motivatie.

Wat onthult RomCom over de convergentie van financiële en geopolitieke motivaties onder adversaries? Specifiek, hoe interpreteren wij de groeiende trend van staatssponsoreerde groepen die eCrime-infrastructuur gebruiken als instrumenten van invloed of geloofwaardige ontkenning?

RomCom toont de evolutie van een cybercriminele groep die langdurige operationele consistentie heeft behouden, terwijl het zijn netwerk van affiliaties gestaag heeft uitgebreid. Gedurende zijn activiteit heeft het duidelijke verbindingen gelegd met meerdere ransomware-families, met name Cuba, Industrial Spy en Underground, wat diepe integratie binnen het eCrime-ecosysteem aantoont. In de loop van de tijd is RomCom geëvolueerd van een doelgebouwde backdoor naar een commodity-malware die door eCrime-groepen wordt gebruikt, die het heeft geïntegreerd in hun playbooks om diverse criminele operaties te faciliteren en mogelijk te maken. Deze evolutie is aangetoond door de integratie van RomCom met de Cuba-, Industrial Spy- en Underground-ransomware-operaties, wat duidelijk aangaf dat het onderdeel was geworden van een bredere adversariale ecosystem als gedeelde infrastructuur.

RomCom benadrukt ook een bredere trend waarbij staatssponsoreerde adversaries eCrime-tooling aannemen of hergebruiken. Deze tools zijn bewezen, effectief en dienen als handige middelen voor bredere strategische doelstellingen. Rusland blijft een voorbeeld: uitgebreide rapportage toont aan dat Russische gelieerde criminele groepen opereren als feitelijke uitbreidingen van staatoperaties of worden rechtstreeks gebruikt om deze te ondersteunen. Dit stelt staten in staat om ontkenbare operaties uit te besteden, met name die van disruptieve of destructieve aard, aan criminele actoren, of om hun tooling en infrastructuur over te nemen. Uiteindelijk onthult deze dynamiek een wederzijds voordelige relatie: RomCom-operators en hun affiliates verwerven invloed en financiële beloningen, terwijl staten toegang krijgen tot capabele, ontkenbare assets. In het eCrime-landschap is loyaliteit transactiegebonden, geworteld in invloed en winst.

Dit model biedt duidelijke strategische voordelen, waardoor het steeds vaker voorkomt. Criminele partnerschappen bieden staten toegang en capaciteit zonder directe attributie, en de resulterende operationele ambiguïteit compliceert diplomatieke en juridische reacties. Malware-families zijn effectief instrumenten van staatshandelen geworden, die traditionele espionage aanvullen via criminele infrastructuur die ontkenbaar, schaalbaar en zelfonderhoudend is.

Modern malware blijft vaak niet beperkt tot één industrie of regio. Wat suggereert dit over de prioriteiten of beperkingen van de aanvaller, en zijn er sectoren of geografische gebieden die u denkt dat “volgende” zijn voor cross-domeinuitbreiding?

Terwijl sommige adversaries zichzelf beperkingen opleggen, behandelen velen urgentie en crisissituaties als aanvullende infectievector, waardoor inbraken worden versneld en afgeleide of overbelaste verdedigingen worden uitgebuit. Motivatie beïnvloedt doelwitselectie, maar beperkt deze zelden. Financieel gemotiveerde groepen prioriteren doelstellingen met hoge potentiële opbrengsten of operationele afhankelijkheden, zoals financiën, betalingsverwerkers en grote ondernemingen met strikte uptime-eisen. Aan de andere kant richten staatssponsoreerde groepen zich op sectoren die geopolitieke doelstellingen ondersteunen, waaronder overheid, defensie en kritieke infrastructuur. Toch is overlap tussen deze motivaties steeds vaker voorkomend.

“Spray-and-pray”-tactieken en commodificatie zullen voortduren. Ransomware-as-a-Service (RaaS)-modellen, commodity-tooling en geautomatiseerde scannen stellen financieel gemotiveerde adversaries in staat om hun doelwitsets agressief uit te breiden. Elke blootgestelde, zwak verdedigde service is potentieel in scope. Geografische uitbreiding volgt zowel kansen als maturiteitsgaten. Regio’s die een snelle digitale transformatie ondergaan, maar met beperkte cybermaturiteit of incidentrespons-capaciteit, zijn aantrekkelijk voor initiële compromittering en schaaloperaties. Aan de andere kant zijn hoogwaardige doelwitten in goed verdedigde regio’s vaak het resultaat van supply-chain-compromittering of uitbesteedde toegang. Kijkend naar de toekomst is uitbreiding waarschijnlijk in regio’s grenzend aan actieve geopolitieke conflicten, waar inlichtingengathering strategische belangen ondersteunt en defensieve maturiteit nog steeds achterblijft bij de geavanceerdheid van adversaries.

Wanneer u realistische adversary-emulaties maakt, wat zijn de moeilijkste technische uitdagingen waar u mee te maken krijgt? Hoe valideert u dat deze emulaties voldoende representatief zijn voor echte wereldbedreigingen, en zijn er gedragingen die bijzonder moeilijk zijn om betrouwbaar te simuleren?

Een van de moeilijkste technische uitdagingen is het bereiken van behavior-fidelity zonder operationeel risico in te voeren. Emulaties moeten real-world-gedrag precies genoeg repliceren om detectie- en preventiecontroles te valideren, terwijl ze veilig genoeg blijven om in productieomgevingen te draaien. Die afweging is constant. Te agressieve implementaties riskeren systemen te destabiliseren of gevaarlijke valse positieven/negatieven te produceren, terwijl te voorzichtige implementaties hun geloofwaardigheid en nut verliezen. We prioriteren het emuleren van de “chokepoints” van de adversary, de kritieke gedragingen die bepalen of een inbraak slaagt of mislukt, en waar defensieve zichtbaarheid en respons het meest ertoe doen. Door de geloofwaardigheid te focussen op deze beslissende gedragingen, leveren emulaties de hoogste waarde voor zowel detectiecoverage als veerkrachtvalidatie.

Sommige technieken zijn opzettelijk beperkt of weggelaten omdat ze onaanvaardbaar risico met zich meebrengen of niet getrouw kunnen worden geëmuleerd zonder de omgeving te schaden. Een implementatie een klein beetje verkeerd, en je test iets dat de adversary nooit daadwerkelijk doet, of je destabiliseert het systeem dat je probeert te beschermen. Andere uitdagingen ontstaan uit gedragingen die afhankelijk zijn van context of geverifieerde toegang vereisen. Netwerkgedrag is ook beperkt: bijvoorbeeld, we reproduceren protocolpatronen en beacon-gedrag voor C2 zonder verbinding te maken met kwaadwillige infrastructuur.

Het creëren van realistische emulaties is dus een iteratief ingenieursproces: identificeren, documenteren, implementeren, testen, valideren en verfijnen. Elke iteratie balanceert geloofwaardigheid, veiligheid en operationele relevantie om ervoor te zorgen dat emulaties zowel realistisch als inzetbaar zijn.

Kijkend drie tot vijf jaar vooruit, welke trends in malware-sophisticatie, aanvallermethodologie of bedreigingsecosystemen vindt u het meest zorgwekkend of intrigerend, en welke fundamentele stappen zou u aanbevelen voor organisaties die beginnen met hun reis in threat-informed defense en adversary-emulatie?

Een van de meest intrigerende en zorgwekkende trends is de toenemende geavanceerdheid van cybercriminele ecosystemen. In de afgelopen decennia hebben eCrime-actoren hun invloed dramatisch uitgebreid.

In eerdere jaren was het aantal deelnemers beperkt, en hun invloed was relatief marginaal. Tegenwoordig coëxisteren en collaboreren honderden met elkaar verbonden entiteiten, elk met gespecialiseerde rollen. Deze interafhankelijkheid vormt een complex, business-georiënteerd ecosysteem dat in structuur en efficiëntie een legitieme markt nabootst. Het ransomware-ecosysteem illustreert dit perfect: tientallen actieve families coëxisteren, evolueren en slagen elkaar op. Deze constante verandering onthult een verwarde web van relaties dat steeds moeilijker wordt om te ontwarren.

Een andere definiërende trend is de convergentie tussen staat en criminele operaties. Niet alleen op operationeel niveau, maar ook in de ontwikkeling van gedeelde infrastructuur en malware-platforms. RomCom illustreert deze evolutie. Het is overgegaan van een puur winstgedreven commodity naar een veelzijdig platform dat wordt gebruikt in staatssponsoreerde operaties, ondersteunend zowel espionage als disruptie-doelstellingen.

Voor organisaties die nieuw zijn in threat-informed defense, is de fundamentele stap om het MITRE ATT&CK Framework te adopteren als de gedeelde taal voor het begrijpen en bespreken van adversary-gedrag. ATT&CK biedt een behavior-taxonomie die defenders in staat stelt om detecties en controles rechtstreeks te koppelen aan aanvallerstechnieken in plaats van statische indicatoren. Prioriteer behavior-detectie boven signature-gebaseerde benaderingen. Indicatoren van compromittering veranderen constant, maar adversary-technieken blijven relatief stabiel, een principe dat wordt gevangen in het Pyramid of Pain-framework. Dank u voor de gedetailleerde antwoorden; lezers die meer willen leren, moeten AttackIQ bezoeken.