Francis Guibernau, Senior Adversary Research Engineer i AttackIQ – Intervju-serie

Francis Guibernau er en Senior Adversary Research Engineer og medlem av Adversary Research Team (ART) i AttackIQ. Francis utfører dybdegående trusselresearch og -analyse for å designe og lage svært sofistikerte og realistiske adversary-emuleringer. Han koordinerer også prosjektet Cyber Threat Intelligence (CTI), som fokuserer på å forskning, analysere, spore og dokumentere motstandere, malware-familier og cybersikkerhets hendelser. Francis har omfattende erfaring med motstander-intelligens, både når det gjelder nasjonalstatlige og eCrime-trusler, samt i sårbarhetsvurdering og -håndtering, etter å ha arbeidet i Deloitte og BNP Paribas.

AttackIQ er et cybersikkerhetsfirma som gir organisasjoner mulighet til å gå fra å bare anta hvordan deres forsvar er, til kontinuerlig, data-drevet validering. Ved å emulere motstander-taktikker ved hjelp av MITRE ATT&CK-modellen og tilby automatisk, produksjons-sikker testing over sky, hybrid og lokale miljøer, hjelper selskapet med å avdekke sikkerhetshull i kontroller, prosesser og mennesker – noe som gjør det mulig for ledere å prioritere retting, rettferdiggjøre investeringer og gå fra reaktivt cyber-svar til proaktiv motstand.

Hvordan ble du en del av cybersikkerhetsfeltet, og hvorfor valgte du å spesialisere deg i Cyber Threat Intelligence? Hvordan har CTI formet din forståelse av hvordan trusler utvikler seg over både nasjonalstatlige og kriminelle økosystemer?

Min vei inn i cybersikkerhet var ikke planlagt; det skjedde ved en kombinasjon av muligheter og tilfeldigheter. Det begynte da jeg ble med i en moden cybersikkerhetsorganisasjon, der jeg arbeidet med to nøkkelområder: Sårbarhetsvurdering og -håndtering, og Cyber Threat Intelligence (CTI). Gjennom sårbarhetsvurdering og -håndtering fikk jeg en forsvarers perspektiv – sikre at systemer var riktig vedlikeholdt, oppdatert og motstandsdyktige mot angrep. Innenfor CTI tok jeg på meg en angripers mindset, analyserende deres motiver, mål og evner. Dette er hvor jeg ble dypt kjent med MITRE ATT&CK-rammeverket, som jeg brukte til å dokumentere motstander-taktikker, -teknikker og -prosedyrer (TTPs) og definere deres operative spillbøker.

Denne doble erfaringen ga meg en omfattende forståelse av hvordan forsvarere og angripere samhandler i et konstant utviklende økosystem. CTI ble raskt en personlig lidenskap. Dets strategiske formål å forstå hvordan motstandere opererer, utvikler seg og påvirker hverandre, føltes nesten forutbestemt. Jeg er takknemlig for å fortsette å arbeide innenfor dette feltet, observere og analysere den økende kompleksiteten i det globale trussel-landskapet, der nasjonalstatlige og eCrime-motstandere, til tross for deres distinkte motiver, stadig flere ganger krysser hverandres operasjoner og former hverandres virksomhet.

Se tilbake, hvilket prosjekt eller erfaring markerte et vendepunkt i din karriere og formet din perspektiv på cybersikkerhet? 

Et avgjørende øyeblikk kom da jeg begynte å forskning og dokumentere TTPs motstandere og malware benytter for å oppdage og unngå kontrollerte miljøer. Dette ble grunnlaget for “Environment Awareness,” et forskningsprosjekt jeg utførte med min kollega og venn Ayelen Torello, som jeg nå har mulighet til å arbeide sammen med i AttackIQ. Vår forskning fokuserte på å katalogisere de forskjellige metodene motstandere benytter for å gjenkjenne og unngå sandboxede eller virtualiserte miljøer, noe som gjør det mulig for dem å forbli uoppdaget under automatisk analyse. Den resulterende whitepaperen ble senere tatt i bruk som grunnlag for teknikken “T1497 – Virtualization/Sandbox Evasion” i MITRE ATT&CK-rammeverket.

Under denne etterforskningen vitnet jeg den kontinuerlige utviklingen av motstandere, med deres payload bliende stadig mer sofistikerte og deres evne til å unngå automatiske detekteringssystemer ble forbedret, noe som økte deres sjanser til å lykkes med å kompromittere virkelige mål. Denne erfaringen formet fundamentalt min forståelse av motstander-tilpasning og den konstante innovasjons-syklusen som definerer moderne trusler.

Etter å ha slutta i AttackIQ i 2021 som en Adversary Research Engineer og ledet etableringen av Cyber Threat Intelligence-initiativet, hvordan har dine ansvarsområder utviklet seg, og hvordan balanserer du koordineringen av CTI-prosjektet, strategisk trusselresearch og utviklingen av motstander-emuleringer? 

Byggingen av Cyber Threat Intelligence (CTI)-programmet i AttackIQ var en kompleks oppgave. Vi måtte oppnå synlighet over et bredt spekter av trusler raskt. Som en tjenesteleverandør kunne vårt fokus ikke begrenses til en enkelt sektor, region eller nasjon. I stedet trengte vi en kunnskapsbase som omfattet både motstandere, fra nasjonalstatlige til eCrime-grupper, og malware, fra kommersielle til tilpassede familier. Når grunnlaget var etablert, begynte vi å fokusere på hva jeg refererer til som “Heavyweights”: svært aktive og innflytelsesrike enheter som påvirker flere sektorer, regioner og nasjoner. Dette tilnærmingen gjør det mulig for oss å prioritere trusler som er mest relevante for våre kunder.

Gitt det raskt utviklende trussel-landskapet, er balanseringen av etterretningssamling, trusselanalyse og motstander-emulering en innebygd kompleks prosess. Hver emulerings-type presenterer distinkte utfordringer. På den ene siden er nasjonalstatlige emuleringer vanligvis svært sofistikerte, tilpasset spesifikke mål, karakterisert av forlengede oppholdstider og drevet av politiske motiver. Reproduksjon av deres atferd krever dyb analyse, tålmodighet og presisjon, noe som gjør dem intellektuelt utfordrende og belønnende å emulere. På den andre siden er eCrime-emuleringer raskt-paced og opportunistiske. Disse motstanderne introduserer nye teknikker, opererer med kortere oppholdstider og ofte påvirker flere sektorer og regioner. Deres bruk av delt, kommersielt tilgjengelig verktøy og malware, med overlappende TTPs over grupper, gjør deres spillbøker dynamiske og fascinerende å reproduksere.

Å strike rett balanse er en strategisk prosess. Vi justerer forsknings- og emulerings-prioriteter med kunde-krav og globale utviklinger, inkludert geopolitiske spenninger, nyoppdagete kritiske sårbarheter og råd fra internasjonale organisasjoner som Cybersecurity and Infrastructure Security Agency (CISA) og National Cyber Security Centre (NCSC). Til slutt er dette arbeidet et lag-anstrengelse. Adversary Research Team (ART) består av usedvanlig talentfulle individer hvis bidrag gjør realistiske og trygge emuleringer mulige. CTI er bare en del av prosessen; å transformere etterretning til autentiske, kontrollerte emuleringer er en kompleks utfordring som krever samarbeid, presisjon og delt forpliktelse.

Innenfor AttackIQs Adversary Research Team, hvordan er forskningen strukturert og prioriterert, og hva har vært de mest betydelige utfordringene i å oversette trussel-intelligens-innsikt til handlebare motstander-emuleringer?

Flere faktorer påvirker hvordan vi prioriterer forskning innenfor AttackIQs Adversary Research Team. Vårt primære fokus er på å emulere motstandere som utgjør den største risikoen for den største delen av våre kunder, noe som sikrer at ressurser er optimalt og konsentrert mot bred-impakt-trusler før de adresse svært spesifikke trusler.

Dette omfatter både motstandere og malware-familier observert i vill natur. Vi kontinuerlig sporer en bred rekke enheter, med prioritering drevet av operasjonell behov snarere enn preskriptive direktiver. Fremvoksende trusler fremskynder ofte rask reprioritering. Økende geopolitiske spenninger, økt rapportering om en spesifik og kritisk sårbarhet eller konsentrerte CERT-råd kan raskt elevere emner til toppen av køen.

En av våre primære utfordringer er å opprettholde konsistent prioritering og balansere ressurser for å levere realistiske og sofistikerte emuleringer samtidig som vi sikrer effisiens og skalerbarhet over utviklings-sykluser. Vi legger stor vekt på å utvikle brede, gjenbrukbare atferder. Ved å identifisere fellesskap over motstandere og malware-familier, fokuserer vi på å replikere teknikker og prosedyrer som konsistent dukker opp over flere spillbøker. Disse kan deretter tilpasses og integreres i andre emuleringer, noe som muliggjør større fleksibilitet og skalerbarhet. Denne tilnærmingen gjør det mulig for oss å prioritere atferder med høy gjenbrukbarhet og operasjonell relevans snarere enn å investere tungt i smale, enkeltstående implementeringer.

I din nylige RomCom-forskning, hva var de nøkkel-inflasjonspunktene som påvirkede dens transformasjon fra en enkel bakdør til en versatil plattform som støtter både spionasje og finansiell utpressing, og under hvilke omstendigheter går malware over fra en enkeltstående payload til en fullstendig plattform? 

Tilfelle RomCom er spesielt fascinerende fordi det først dukket opp i mai 2022 som en relativt enkel bakdør designet primært for fjern-tilgang og grunnleggende data-ekstraksjon. Det første store inflasjonspunktet skjedde bare en måned senere med lanseringen av RomCom 2.0, som introduserte betydelige forbedringer som reflekterte en mer moden, skjult-orientert verktøysett optimalisert for spionasje-operasjoner og langvarig varighet. Disse oppdateringene forbedret betydelig data-innsamling og -ekstraksjons-kapasiteter, noe som indikerte en tydelig skifte mot en mer strategisk bruksområde.

Det påfølgende inflasjonspunktet kom med introduksjonen av RomCom 3.0 i februar 2023, som antok en modulær arkitektur strukturert i tre kjerne-komponenter. Det representerte et betydelig sprang i fleksibilitet og funksjonalitet, støttende 42 distinkte kommandoer, mange av dem var subtile variasjoner av hverandre, noe som understreket operatørens fokus på tilpasning og operasjonell forbedring.

Påfølgende versjoner fortsatte å fokusere på å forbedre kapasiteter og forbedre operasjonell motstand. Over tid utviklet RomCom seg fra en enkel bakdør til en kommersiell malware benyttet av eCrime-grupper, som integrerte den i deres spillbøker for å muliggjøre og fasilitere diverse kriminelle operasjoner. Denne utviklingen ble bevist gjennom RomComs integrasjon med Cuba, Industrial Spy og Underground-ransomware-operasjoner, noe som tydelig indikerte at den hadde blitt innlemmet i et bredere motstander-økosystem som delt infrastruktur. Dette omfattende adopsjonen tiltalte uunngåelig oppmerksomheten til nasjonalstatlige motstandere, spesielt de som var alliert med russiske interesser, som begynte å benytte RomCom som en polyvalent plattform som støtter både spionasje og strategisk påvirkning-operasjoner mot deres geopolitiske mål.

Denne konvergeringen bekreftet vår vurdering av at grensene mellom eCrime og nasjonalstatlige motstandere blir stadig mer utydelige. Overgangen fra en enkeltstående payload til en fullstendig plattform skjer nøyaktig på dette snittflaten, når den begynner å bli benyttet for sofistikerte, strategiske og intangible mål som utvider seg utenfor opportunisme eller finansiell gevinst. På dette stadiet opphører den å tjene en enkelt taktisk formål og begynner i stedet å muliggjøre flere, noen ganger motstridende, operasjonelle mål. Dette antyder at operatørene ser på payloaden som en gjenbrukbar infrastruktur snarere enn en formålsspesifikk våpen.

Du har observert stadig mer utydelige grenser mellom nasjonalstatlig aktivitet og eCrime-motstandere. Fra din perspektiv, hva er de primære drivkreftene bak denne konvergeringen, og hvordan bør forsvarere tenke annerledes når de vurderer tilskrivning og motivasjon i disse tilfellene? 

Konvergeringen mellom nasjonalstatlige og eCrime-operasjoner er primært drevet av pragmatiske faktorer på begge sider. For nasjonalstatlige motstandere er målet å raskt tilegne seg kapasiteter som allerede er validert og bevist i felten. Å benytte eksisterende verktøy eller infrastruktur gjør det mulig for dem å tilegne seg operasjonell fleksibilitet uten å dedikere ekstensive ressurser til å utvikle tilpassede verktøy fra scratch. Hvis en payload er motstandsdyktig, effektiv og tilgjengelig, hvorfor gjenskape den? På den andre siden, for eCrime-operatører, å få tilgang til nasjonalstatlige ressurser og infrastruktur, inkludert etterretning, mål-data og beskyttede distribusjonskanaler, gjør det mulig for dem å raskt skalerer kapasiteter mens de mottar garantert finansiell støtte med minimal risiko.

RomCom eksemplifiserer denne konvergeringen. Den dukket opp som en kommersiell malware designet for å fasilitere utpressing, men ble senere adoptert i aktivitetene som var alliert med russiske interesser, målretting regjeringsinstitusjoner, militær-personell, humanitære organisasjoner og NATO-allierte enheter. Vår vurdering indikerer at RomCom gikk over fra å være en ren profitt-drevet verktøy til en polyvalent plattform som støtter både spionasje og disruptiv virksomhet. Dette bekrefter vår vurdering av at grensene mellom eCrime og nasjonalstatlige motstandere blir stadig mer utydelige.

Dette skifte bekrefter også en viktig prinsipp: uavhengig av om motstanderen er finansielt eller politisk motivert, har påvirkningen på offeret alltid samme effekt. I denne konteksten blir trussel-informert forsvar essensielt. Organisasjoner bør prioritere å validere forsvar og motstandskraft mot realistiske, observerte atferder snarere enn å fokusere eksklusivt på tilskrivning eller antatt motivasjon.

Hva avslører RomCom om konvergeringen av finansielle og geopolitiske motiver blant motstandere? Spesielt, hvordan tolker du den økende trenden av nasjonalstatlige grupper som benytter eCrime-infrastruktur som instrumenter for påvirkning eller plausibel benektelse? 

RomCom demonstrerer utviklingen av en cyberkriminell gruppe som har opprettholdt langvarig operasjonell konsistens samtidig som den stadig utvider sitt nettverk av tilknytninger. Gjennom sin aktivitet etablerte den klare forbindelser med flere ransomware-familier, spesielt Cuba, Industrial Spy og Underground, noe som reflekterer en dyb integrasjon i eCrime-økosystemet. Over tid utviklet RomCom seg fra en enkel bakdør til en kommersiell malware som ble benyttet av eCrime-grupper for å muliggjøre og fasilitere diverse kriminelle operasjoner. Denne utviklingen ble bevist gjennom RomComs integrasjon med disse ransomware-operasjoner, noe som tydelig indikerte at den hadde blitt innlemmet i et bredere motstander-økosystem som delt infrastruktur.

RomCom bekrefter også en bredere trend hvor nasjonalstatlige motstandere adopterer eller gjenskaper eCrime-verktøy. Disse verktøyene er bevist effektive og tjener som praktiske muligheter for å nå bredere strategiske mål. Russland forblir et primært eksempel: omfattende rapportering detaljerer russisk-koblede kriminelle grupper som opererer som de facto-utvidelser av nasjonalstatlige operasjoner eller blir direkte benyttet for å støtte dem. Dette gjør det mulig for nasjonalstatlige motstandere å outsourcinge benektelige operasjoner, spesielt de som er av disruptiv eller destruktiv natur, til kriminelle aktører, eller å absorbere deres verktøy og infrastruktur. Til slutt avslører denne dynamikken en gjensidig fordelaktig relasjon: RomCom-operatører og deres tilknytninger tilegner seg påvirkning og finansiell gevinst, mens nasjonalstatlige motstandere tilegner seg kapable, benektelige aktører.

Denne modellen tilbyr klare strategiske fordeler, noe som er grunnen til at den blir stadig mer vanlig. Kriminelle partnerskap gir nasjonalstatlige motstandere tilgang til kapasiteter uten direkte tilskrivning, og den resulterende operative usikkerheten kompliserer diplomatisk og juridisk respons. Malware-familier har effektivt blitt instrumenter for statlig handling, som supplere og ikke erstatter tradisjonell spionasje gjennom kriminell infrastruktur som er benektelig, skalerbar og selv-bærende.

Moderne malware forblir ofte ikke begrenset til en enkelt industri eller region. Hva antyder dette om angripernes prioriteringer eller begrensninger, og er det sektorer eller geografiske områder du tror er “neste” for tverr-domen-utvidelse? 

Selv om noen motstandere kan selv-imponere begrensninger, behandler mange krise og hastighet som ekstra infeksjonsvektorer, akselererende intrusjoner og utnyttende distraherende eller anstrengte forsvar. Motivasjon påvirker målretting, men begrenser sjelden det. Finansielt motiverte grupper prioriterer mål med høy potensiell avkastning eller operasjonell avhengighet, som finansielle institusjoner, betalingsprosessorer og store bedrifter med strenge opp-tid-krav. På den andre siden, nasjonalstatlige motstandere konsentrerer seg om sektorer som fremmer geopolitiske mål, inkludert regjering, forsvar og kritisk infrastruktur. Likevel er overlap mellom disse motivasjonene stadig mer vanlig.

“Spray-and-pray”-taktikker og kommersialisering vil fortsette. Ransomware-as-a-Service (RaaS)-modeller, kommersielle verktøy og automatisert scanning gjør det mulig for finansielt motiverte motstandere å utvide sine mål-sammenhenger aggressivt. Enhver eksponert, svakt forsvart tjeneste er potensielt i omfang. Geografisk utvidelse følger både mulighet og modenhetsgap. Regioner som gjennomgår rask digital transformasjon, men med begrenset cybersikkerhets-modenhetsnivå eller hendelses-respons-kapasitet, er attraktive for initial kompromittering og skalerings-operasjoner. På den andre siden, høyt-verdige mål i godt-forsvarte regioner blir ofte påvirket gjennom forsyningskjede-kompromittering eller outsourcet tilgang.

Når man ser fremover, er utvidelse sannsynlig i regioner som grenser til aktive geopolitiske konflikter, hvor etterretningssamling støtter strategiske interesser og forsvar-modenhetsnivå fortsatt ligger etter motstander-sophistication.

Når du lager realistiske motstander-emuleringer, hva er de tøffeste tekniske utfordringene du møter? Hvordan validerer du at disse emuleringene er tilstrekkelig representative for virkelige trusler, og er det atferder som forblir spesielt vanskelige å simulere pålitelig?

En av de tøffeste tekniske utfordringene er å oppnå atferds-trofasthet uten å introdusere operasjonell risiko. Emuleringer må replikere virkelige atferder nøyaktig nok til å validere deteksjons- og forebyggings-kontroller, samtidig som de forblir trygge nok til å kjøre i produksjons-miljøer. Denne avveiingen er konstant. For aggressivt implementerte emuleringer risikerer å destabilisere systemer eller produsere farlige falske positiver/negativer, mens for forsiktige implementeringer mister trofasthet og nytte. Vi prioriterer å emulere motstanderens “chokepoints“, de kritiske atferdene som bestemmer om en intrusjon lykkes eller feiler, og hvor forsvarlig synlighet og respons er mest kritisk. Ved å fokusere trofasthet på disse avgjørende atferdene, leverer emuleringer den høyeste verdien for både deteksjons-dekning og motstandskrafts-validering.

Noen teknikker er bevisst begrensede eller utelatt fordi de presenterer uakseptable risiko eller ikke kan emuleres trofast uten å skade miljøet. Får man en implementering litt galt, og man tester enten noe motstanderen aldri gjør eller destabiliserer systemet man prøver å beskytte. Andre utfordringer oppstår fra atferder som avhenger av miljø-kontekst eller krever autentisert tilgang. Nettsamhandlinger er også begrensede: for eksempel, vi reproducerer protokoll-mønster og beacon-atferd for C2 uten å koble til skadelig infrastruktur.

Å lage realistiske emuleringer er derfor en iterativ ingeniør-prosess: identifisere, dokumentere, implementere, teste, validere og forbedre. Hver iterasjon balanserer trofasthet, sikkerhet og operasjonell relevans for å sikre at emuleringer er både realistiske og deployable.

Se fremover de neste tre til fem årene, hva er trendene i malware-sophistication, angriper-metodologi eller trussel-økosystemer du finner mest bekymringsfulle eller fascinerende, og hva er de grunnleggende skrittene du ville anbefale for organisasjoner som begynner sin reise i trussel-informert forsvar og motstander-emulering?

En av de mest fascinerende og bekymringsfulle trendene er den økende sofistikasjonen av cyberkriminelle økosystemer. Over de siste ti årene har eCrime-aktører utvidet sin påvirkning dramatisk.

I tidligere år var antallet deltakere begrenset, og deres påvirkning var relativt marginal. I dag eksisterer hundredvis av sammenkoblede enheter som samarbeider og fyller spesifikke roller. Dette gjør det mulig for dem å skalerer kapasiteter og utvikle nye teknikker. Ransomware-økosystemet eksemplifiserer dette perfekt: dusinvis av aktive familier eksisterer, utvikler seg og lykkes hverandre. Denne konstante omveltning avslører et komplekst nettverk av relasjoner som blir stadig mer vanskelig å avklare.

En annen definierende trend er konvergeringen mellom nasjonalstatlige og kriminelle operasjoner. Ikke bare på operasjonelt nivå, men også i utviklingen av delt infrastruktur og malware-plattformer. RomCom eksemplifiserer denne utviklingen. Den gikk over fra å være en ren profitt-drevet kommersiell malware til en polyvalent plattform som støtter både spionasje og disruptiv virksomhet. Dens målretting av regjeringsinstitusjoner, militær-personell, humanitære organisasjoner og NATO-allierte enheter demonstrerer en skifte mot en instrument for statlig handling, som støtter russiske etterretning-mål samtidig som den beholder sin eCrime-fleksibilitet.

For organisasjoner som er nye i trussel-informert forsvar, er det grunnleggende skrittet å adoptere MITRE ATT&CK-rammeverket som det felles språk for å forstå og diskutere motstander-atferd. ATT&CK tilbyr en atferds-taksonomi som gjør det mulig for forsvarere å kartlegge deteksjoner og kontroller direkte til motstander-teknikker snarere enn statiske indikatorer. Prioriter atferds-deteksjon over signatur-basert tilnærming. Indikatorer for kompromittering endrer seg konstant, men motstander-teknikker forblir relativt stabile, en prinsipp som er fanget i Pyramid of Pain-rammeverket. Prioriter atferds-deteksjon over signatur-basert tilnærming. Indikatorer for kompromittering endrer seg konstant, men motstander-teknikker forblir relativt stabile, en prinsipp som er fanget i Pyramid of Pain-rammeverket. Takk for de detaljerte svarene, lesere som ønsker å lære mer bør besøke AttackIQ.