Francis Guibernau, Senior Adversary Research Engineer på AttackIQ – Intervju-serie

Francis Guibernau är en Senior Adversary Research Engineer och medlem i Adversary Research Team (ART) på AttackIQ. Francis genomför djupgående hotforskning och analys för att designa och skapa mycket sofistikerade och realistiska adversary-emulationer. Han koordinerar också Cyber Threat Intelligence (CTI)-projektet, som fokuserar på att forska, analysera, spåra och dokumentera adversaries, malware-familjer och cybersäkerhetsincidenter. Francis har omfattande erfarenhet av adversary-intelligence, som omfattar både nationella och eCrime-hot, samt i sårbarhetsbedömning och hantering, efter att tidigare ha arbetat på Deloitte och BNP Paribas.

AttackIQ är ett cybersäkerhetsföretag som möjliggör för organisationer att gå bortom antaganden om deras försvar till kontinuerlig, data-driven validering. Genom att emulera adversary-taktik med hjälp av MITRE ATT&CK-modellen och erbjuda automatiserad, produktionssäker testning över moln, hybrid- och lokala miljöer, hjälper företaget till att identifiera säkerhetsluckor i kontroller, processer och människor – vilket möjliggör för ledare att prioritera åtgärder, motivera investeringar och gå från reaktiv cyber-respons till proaktiv resilience.

Hur blev du en del av cybersäkerhetsområdet, och varför valde du att specialisera dig på Cyber Threat Intelligence? Hur har CTI format din förståelse för hur hot utvecklas över både nationella och kriminella ekosystem?

Min väg in i cybersäkerhet var inte planerad; det hände genom möjlighet snarare än design. Det började när jag gick med i en mogen cybersäkerhetsorganisation, där jag arbetade inom två nyckelområden: Sårbarhetsbedömning och hantering, och Cyber Threat Intelligence (CTI). Genom Sårbarhetsbedömning och hantering fick jag en försvarares perspektiv – säkerställande att system var korrekt underhållna, patchade och resistenta mot attacker. Inom CTI antog jag angriparens mindset, analyserande deras motivationer, mål och förmågor. Det är där jag blev djupt bekant med MITRE ATT&CK-ramverket, som jag använde för att dokumentera adversary-taktik, tekniker och procedurer (TTP) och definiera deras operativa playbooks.

Denna dubbla erfarenhet gav mig en omfattande förståelse för hur försvarare och angripare interagerar inom ett ständigt utvecklande ekosystem. CTI blev snabbt en personlig passion. Dess strategiska syfte att förstå hur adversaries opererar, utvecklas och påverkar varandra kändes nästan förutbestämt. Jag är tacksam för att fortsätta arbeta inom detta område, observera och analysera den växande komplexiteten i den globala hotbilden, där statssponsrade och eCrime-adversaries, trots sina distinkta motivationer, alltmer överlappar och formar varandras operationer.

Om du ser tillbaka, vilket specifikt projekt eller erfarenhet markerade en vändpunkt i din karriär och formade din syn på cybersäkerhet? 

En avgörande ögonblick kom när jag började forska och dokumentera TTP som adversaries och malware använder för att upptäcka och undvika kontrollerade miljöer. Detta arbete blev grunden för “Environment Awareness“, ett forskningsprojekt som jag genomförde med min kollega och vän Ayelen Torello, med vilken jag nu har möjlighet att arbeta tillsammans på AttackIQ. Vår forskning fokuserade på att katalogisera de olika metoder som adversaries använder för att känna igen och undvika sandboxade eller virtualiserade miljöer, vilket tillåter dem att förbli oupptäckta under automatiserad analys. Den resulterande whitepapern antogs senare som grunden för teknik “T1497 – Virtualization/Sandbox Evasion” i MITRE ATT&CK-ramverket.

Under denna utredning såg jag den kontinuerliga utvecklingen av adversaries, med deras payload becoming alltmer sofistikerade och deras förmåga att undvika automatiserad upptäcktssystem förbättras, vilket ökar deras chanser att lyckas kompromettera verkliga mål. Denna erfarenhet formade grundläggande min förståelse för adversary-anpassning och den konstanta innovationscykeln som definierar moderna hot.

Sedan du gick med i AttackIQ 2021 som en Adversary Research Engineer och ledde etableringen av Cyber Threat Intelligence-initiativet, hur har dina ansvarsområden utvecklats, och hur balanserar du samordningen av CTI-projektet, strategisk hotforskning och utvecklingen av adversary-emulationer? 

Att bygga Cyber Threat Intelligence (CTI)-programmet på AttackIQ var en komplex uppgift. Vi behövde uppnå synlighet över ett brett spektrum av hot snabbt. Som en tjänsteleverantör kunde vår fokus inte begränsas till en enda sektor, region eller nation. Istället behövde vi en kunskapsbas som omfattade både adversaries, från statssponsrade till eCrime-grupper, och malware, från kommersiella till anpassade familjer. När grunden var etablerad började vi fokusera på vad jag kallar “Tungviktare”: högt aktiva och inflytelserika entiteter som påverkar flera sektorer, regioner och nationer. Detta tillvägagångssätt tillåter oss att prioritera hot som är mest relevanta för vår kundbas.

Givet den snabbt föränderliga hotbilden är det en utmaning att balansera underrättelsesamling, hotanalys och adversary-emulation. Varje emulerings typ presenterar distinkta utmaningar. Å ena sidan är nationella emulerings vanligtvis högt sofistikerade, anpassade till specifika mål, karakteriserade av utökade vistelsetider och drivna av politiska motivationer. Att reproducera deras beteende kräver djup analys, tålamod och precision, vilket gör dem intellektuellt utmanande och givande att emulera. Å andra sidan är eCrime-emulationer snabbt föränderliga och opportunistiska. Dessa adversaries introducerar nya tekniker, opererar med kortare vistelsetider och ofta påverkar flera sektorer och regioner. Deras användning av delade, standardverktyg och kommersiell malware, med överlappande TTP över grupper, gör deras playbooks dynamiska och fascinerande att reproducera.

Att hitta rätt balans är en strategisk process. Vi anpassar forsknings- och emuleringsprioriteter med kundkrav och globala utvecklingar, inklusive geopolitiska spänningar, nyligen offentliggjorda kritiska sårbarheter och råd från internationella organisationer som Cybersecurity and Infrastructure Security Agency (CISA) och National Cyber Security Centre (NCSC). Slutligen är detta arbete ett lagarbete. Adversary Research Team (ART) består av otroligt begåvade individer vars bidrag gör realistiska och säkra emulerings möjliga. CTI är bara en del av processen; att omvandla underrättelser till autentiska, kontrollerade emulerings är en komplex utmaning som kräver samarbete, precision och gemensamt engagemang.

Inom AttackIQ:s Adversary Research Team, hur är forskningen strukturerad och prioriterad, och vad har varit de mest betydande utmaningarna i att översätta hotunderrättelser till handlingsbara adversary-emulationer?

Flera faktorer påverkar hur vi prioriterar forskning inom AttackIQ:s Adversary Research Team. Vår primära fokus är på att emulera adversaries som utgör den största risken för den största delen av våra kunder, säkerställande att resurser är optimerade och koncentrerade mot breda, hög-impact-hot innan de adresserar högt specifika hot.

Detta omfattar både adversaries och malware-familjer som observerats i det vilda. Vi spår kontinuerligt ett brett spektrum av entiteter, med prioritering driven av operativt behov snarare än prescriptiva direktiv. Nya hot frekvent promptar snabb omprioritering. Eskalerande geopolitiska spänningar, ökad rapportering om en specifik och kritisk sårbarhet eller koncentrerade CERT-råd snabbt höjer ämnen till toppen av kön.

En av våra primära utmaningar är att upprätthålla konsekvent prioritering och balansera resurser för att leverera realistiska och sofistikerade emulerings samtidigt som vi säkerställer effektivitet och skalbarhet över utvecklingscykler. Vi lägger stor vikt vid att utveckla breda, återanvändbara beteenden. Genom att identifiera gemensamheter över adversaries och malware-familjer fokuserar vi på att replikera tekniker och procedurer som konsekvent visas över flera playbooks. Dessa kan sedan anpassas och integreras i andra emulerings, vilket möjliggör större flexibilitet och skalbarhet. Detta tillvägagångssätt tillåter oss att prioritera beteenden med hög återanvändbarhet och operativ relevans snarare än att investera tungt i smala, enstaka implementationer.

Steady produktionstakt, levererar flexibla, målinriktade och meningsfulla emulerings.

I din nyliga RomCom-forskning, vad var de viktigaste inflexionspunkterna som påverkade dess transformation från en grundläggande backdoor till en mångsidig plattform som stöder både spionage och finansiell utpressning, och under vilka omständigheter övergår malware från en fristående payload till en fullfjädrad plattform? 

Fallet med RomCom är särskilt fascinerande eftersom det först dök upp i maj 2022 som en relativt enkel backdoor designad främst för fjärråtkomst och grundläggande dataexfiltration. Den första stora inflexionspunkten inträffade bara en månad senare med utgåvan av RomCom 2.0, som introducerade betydande förbättringar som reflekterade en mer mogen, stealth-orienterad verktygssats optimerad för spionagemissioner och långsiktig kvarhållning. Dessa uppdateringar förbättrade avsevärt datainsamling och exfiltration, vilket indikerade en tydlig skiftning mot en mer strategisk användningsfall.

Den följande inflexionspunkten kom med introduktionen av RomCom 3.0 i februari 2023, som antog en modulär arkitektur strukturerad i tre kärnkomponenter. Det representerade ett betydande språng i flexibilitet och funktionalitet, som stödde 42 distinkta kommandon, många av vilka var subtila variationer av varandra, vilket betonade operatörens fokus på anpassningsförmåga och operativ förfining.

Påföljande versioner fortsatte att fokusera på att förbättra förmågor och förbättra operativ motståndskraft. Över tiden utvecklades RomCom från en specialbyggd backdoor till en kommersiell malware som utnyttjades av eCrime-grupper, som integrerade den i sina playbooks för att möjliggöra och underlätta olika kriminella operationer. Denna utveckling bevisades av RomComs integration med Cuba, Industrial Spy och Underground-ransomware-operationer, vilket tydligt indikerade att den hade blivit en del av ett bredare adversarial-ekosystem som delad infrastruktur. Denna utbredda antagande bekräftade vår bedömning att gränserna mellan eCrime och nationella adversaries alltmer suddas ut. Övergången från fristående payload till fullfjädrad plattform sker exakt vid denna korsning, när den börjar utnyttjas för sofistikerade, strategiska och intangible mål som sträcker sig bortom opportunism eller finansiell vinning. Vid den tidpunkten upphör den att tjäna ett enda taktiskt syfte och stöder istället flera, ibland motsägelsefulla, operativa mål. Detta antyder att operatörerna ser payloaden som en återanvändbar infrastruktur snarare än en specialbyggd vapen.

Du har observerat alltmer suddade gränser mellan nationell aktivitet och eCrime-adversaries. Från din synvinkel, vad är de primära drivkrafterna bakom denna konvergens, och hur bör försvarare tänka annorlunda när de bedömer attribuering och motivation i dessa fall? 

Konvergenserna mellan nationella och eCrime-operationer drivs primärt av pragmatiska faktorer på båda sidor. För statssponsrade adversaries är målet att snabbt förvärva kapaciteter som redan har validerats och bevisats på slagfältet. Att utnyttja befintlig verktyg eller infrastruktur tillåter dem att förvärva operativ flexibilitet utan att dedikera omfattande resurser till att utveckla anpassade verktyg från scratch. Om en payload är resilient, effektiv och tillgänglig, varför återskapa den? Å andra sidan, för eCrime-operatörer, tillgång till nationell nivåresurser och infrastruktur, inklusive underrättelser, målinriktning och skyddade distributionskanaler, möjliggör snabb skalning av kapaciteter medan de får garanterad finansiell stöd med minimal risk.

RomCom exemplifierar denna konvergens. Ursprungligen en kommersiell malware designad för att underlätta ransomware-operationer, antogs den senare i aktiviteter som var anpassade till ryska strategiska intressen, riktade mot ukrainska regeringsinstitutioner, NATO-anpassade enheter och humanitära organisationer. Vår bedömning indikerar att RomCom övergick från ett rent vinstinriktat verktyg till en utility som utnyttjades i nationella operationer, som stödde både spionage och störningsmål.

Denna utveckling betonar en viktig princip: oavsett om adversarien är finansiellt eller politiskt motiverad, förblir påverkan på offret densamma. I detta sammanhang blir hotinformerat försvar avgörande. Organisationer bör prioritera att validera försvar och motståndskraft mot realistiska, observerade beteenden snarare än att fokusera enbart på attribuering eller förmodad motivation.

Vad avslöjar RomCom om konvergens av finansiella och geopolitiska motivationer bland adversaries? Specifikt, hur tolkar du den växande trenden av statliga grupper som utnyttjar eCrime-infrastruktur som instrument för inflytande eller trovärdig förnekelse? 

RomCom demonstrerar utvecklingen av en cyberkriminell grupp som har upprätthållit långsiktig operativ konsistens samtidigt som den har utvidgat sitt nätverk av anknytningar. Under sin aktivitet etablerade den tydliga kopplingar till flera ransomware-familjer, särskilt Cuba, Industrial Spy och Underground, vilket reflekterar en djup integration inom eCrime-ekosystemet. Över tiden utvecklades RomCom från en specialbyggd backdoor till en kommersiell malware som utnyttjades av eCrime-grupper, som integrerade den i sina playbooks för att möjliggöra och underlätta olika kriminella operationer. Denna utveckling bekräftade vår bedömning att gränserna mellan eCrime och nationella adversaries alltmer suddas ut. Övergången från fristående payload till fullfjädrad plattform sker exakt vid denna korsning, när den börjar utnyttjas för sofistikerade, strategiska och intangible mål som sträcker sig bortom opportunism eller finansiell vinning.

RomCom betonar också en bredare mönster av statliga grupper som antar eCrime-verktyg. Dessa verktyg är beprövade, effektiva och fungerar som bekväma möjliggörare för bredare strategiska mål. Ryssland förblir ett främsta exempel: omfattande rapportering detaljerar ryskt länkade kriminella grupper som opererar som de facto-utvidgningar av statliga operationer eller som direkt utnyttjas för att stödja dem. Detta möjliggör för stater att outsourca förnekbara operationer, särskilt de som är av störande eller destruktiv natur, till kriminella aktörer, eller att absorbera deras verktyg och infrastruktur. Slutligen avslöjar detta dynamiska en ömsesidigt fördelaktig relation: RomCom-operatörer och deras anhängare vinner inflytande och finansiella belöningar, medan stater får tillgång till kapabla, förnekbara tillgångar. I eCrime-landskapet är lojalitet transaktionell, rotad i inflytande och vinst.

Detta modell erbjuder tydliga strategiska fördelar, vilket är varför det blir alltmer vanligt. Kriminella partnerskap ger stater tillgång och kapacitet utan direkt attribuering, och den resulterande operativa tvetydigheten komplicerar diplomatiska och rättsliga svar. Malware-familjer har i praktiken blivit instrument för statskonst, som kompletterar snarare än ersätter traditionell spionage genom kriminell infrastruktur som är förnekbar, skalbar och självunderhållande.

Modern malware tenderar inte att stanna inom en enda industri eller region. Vad antyder detta om angriparens prioriteringar eller begränsningar, och finns det sektorer eller geografiska områden som du tror är “nästa” för cross-domain-expansion? 

Medan vissa adversaries kan själva pålägga begränsningar, behandlar många brådska och kriser som ytterligare infektionsvektorer, accelererande intrång och utnyttjande av distraherade eller ansträngda försvar. Motivation påverkar mål, men begränsar dem sällan. Finansiellt motiverade grupper prioriterar mål med hög avkastning eller operativa beroenden, såsom finans, betalningsprocessorer och stora företag med stränga uptime-krav. Å andra sidan fokuserar statliga grupper på sektorer som främjar geopolitiska mål, inklusive regering, försvar och kritisk infrastruktur. Ändå är överlappningen mellan dessa motivationer alltmer vanlig.

“Spray-and-pray”-taktiker och kommersialisering kommer att fortsätta. Ransomware-as-a-Service (RaaS)-modeller, kommersiell verktyg och automatiserad skanning möjliggör för finansiellt motiverade adversaries att breda ut sina måluppsättningar aggressivt. Varje exponerad, svagt försvarad tjänst är potentiellt i omfång. Geografisk expansion följer både möjlighet och mognadsluckor. Regioner som genomgår snabb digital transformation men med begränsad cybersäkerhetsmognad eller incidenthanteringsförmåga är attraktiva för initial kompromiss och skalningsoperationer. Å andra sidan är högvärdesmål i väl försvarade regioner ofta påverkade genom leverantörskedjekompromiss eller outsourcad åtkomst. Framåt är expansion sannolikt i regioner intill aktiva geopolitiska konflikter där underrättelseinsamling stöder strategiska intressen och försvarsmognad fortfarande släpar efter adversariell sofistikering.

När du skapar realistiska adversary-emulationer, vad är de tuffaste tekniska utmaningarna du möter? Hur validerar du att dessa emulationer är tillräckligt representativa för verkliga hot, och finns det beteenden som förblir särskilt svåra att simulera tillförlitligt?

En av de tuffaste tekniska utmaningarna är att uppnå beteendefidelitet utan att introducera operativ risk. Emulationer måste replikera verkliga beteenden tillräckligt exakt för att validera upptäckt och förebyggande kontroller, samtidigt som de förblir tillräckligt säkra för att köras i produktionsmiljöer. Det är en konstant avvägning. För aggressiva implementationer riskerar att destabilisera system eller producera farliga falska positiva/negativa, medan för försiktiga implementationer förlorar fidelitet och användbarhet. Vi prioriterar att emulera adversariens “chokepoints“, de kritiska beteendena som bestämmer om en intrång lyckas eller misslyckas, och där försvars synlighet och respons är som viktigast. Genom att fokusera fidelitet på dessa avgörande beteenden, levererar emulerings högsta värde för både upptäcktsomfång och motståndskraftsvalidering.

Vissa tekniker är medvetet begränsade eller utelämnade eftersom de utgör oacceptabel risk eller inte kan återges troget utan att skada miljön. Om man får en implementation något fel, testar man antingen något som adversarien aldrig faktiskt gör eller destabiliserar systemet man försöker skydda. Andra utmaningar uppstår från beteenden som är beroende av miljökontext eller kräver autentiserad åtkomst. Nätverksbeteenden är också begränsade: till exempel reproducerar vi protokollmönster och C2-beteenden för beaconing utan att ansluta till skadlig infrastruktur.

Att skapa realistiska emulerings är därför en iterativ ingenjörsprocess: identifiera, dokumentera, implementera, testa, validera och förbättra. Varje iteration balanserar fidelitet, säkerhet och operativ relevans för att säkerställa att emulerings är både realistiska och distribuerbara.

Om tre till fem år, vad är de trender i malware-sofistikering, angriparens metodik eller hot-ekosystem som du finner mest oroande eller intressanta, och vilka grundläggande steg skulle du rekommendera för organisationer som börjar sin resa i hotinformerat försvar och adversary-emulation?

En av de mest intressanta och oroande trenderna är den ökande sofistikeringen av cyberkriminella ekosystem. Under det senaste decenniet har eCrime-aktörer utvidgat sitt inflytande dramatiskt.

I tidigare år var antalet deltagare begränsat, och deras inflytande var relativt marginellt. Idag existerar hundratals sammanlänkade entiteter som samexisterar och samarbetar, var och en som fyller specialiserade roller. Denna interdependence bildar ett komplext, affärsinriktat ekosystem som speglar legitima marknader i struktur och effektivitet. Ransomware-ekosystemet exemplifierar detta perfekt: dussintals aktiva familjer samexisterar, utvecklas och efterträder varandra. Denna konstanta förändring avslöjar en invecklad webb av relationer som blir alltmer svår att reda ut.

En annan definierande trend är konvergenserna mellan statliga och kriminella operationer. Inte bara på det operativa planet, utan också i utvecklingen av delad infrastruktur och malware-plattformar. RomCom exemplifierar denna utveckling. Den övergick från en renodlad vinstinriktad kommersiell till en mångsidig utility som utnyttjades i nationella operationer, som stödde både spionage och störningsmål.

För organisationer som är nya inom hotinformerat försvar är det grundläggande steget att anta MITRE ATT&CK-ramverket som det delade språket för att förstå och diskutera adversary-beteende. ATT&CK tillhandahåller en beteendebaserad taxonomi som möjliggör för försvarare att mappa upptäckt och kontroller direkt till adversary-tekniker snarare än statiska indikatorer. Prioritera beteendebaserad upptäckt över signaturbaserade tillvägagångssätt. Indikatorer för kompromiss förändras konstant, men adversary-tekniker förblir relativt stabila, en princip som fångas i Pyramid of Pain-ramverket. Tack för de detaljerade svaren, läsare som vill lära sig mer bör besöka AttackIQ.