Contribution to the systematic study of threat actor tools and techniques in real-world cyber incidents

Abstract

(English) Cyber incident response and digital forensics (DFIR) research increas- ingly faces a tension between academic rigor and the operational re- alities of real-world investigations. While academic studies often rely on controlled datasets and synthetic scenarios, practitioners must oper- ate under time pressure, incomplete evidence, and strict confidentiality constraints. This doctoral research addresses that gap through an In- dustrial PhD program conducted in collaboration with Incide Digital Data S.L., which enabled access to real-world incident data and practi- tioner workflows while maintaining a rigorous scientific methodology. The thesis investigates how threat-actor tools, techniques, and behaviours can be systematically analyzed and transformed into reusable, vali- dated, and operationally meaningful artifacts. Three complementary research directions are explored. First, an integrated forensic methodol- ogy is proposed for the analysis of abused legitimate tools and mobile activity, combining tool-centric investigations with structured iOS ac- tivity characterization to support accurate reconstruction, automation, and legally robust analysis in real incident-response contexts. Second, the research develops a Business Email Compromise (BEC)-specific map- ping of Tactics, Techniques, and Procedures using the MITRE ATT&CK framework, addressing limitations of narrative-driven BEC reporting. The proposed matrix is validated against real-world cases and demon- strates improved behavioural comparison, clustering, and defensive alignment. Third, the thesis designs and empirically evaluates a YARA- based detection library targeting malware anti-analysis techniques, with a focus on anti-virtual machine and anti-sandbox behaviour, highlight- ing both the strengths and limits of static detection in operational con- texts. Across these contributions, the thesis demonstrates that behavioural and tool-based indicators provide durable defensive value and that hy- brid analytical pipelines are necessary to address modern evasive threats. 6 By grounding methodological innovation in industrial practice, this work advances DFIR towards more systematic, reproducible, and operationally relevant research, supporting faster investigations and more consistent defensive decision-making. (Català) La recerca en resposta a incidents de ciberseguretat i anàlisi forense digital (DFIR) s’enfronta cada vegada més a un equilibri entre el rigor acadèmic i les realitats operatives de les investigacions en entorns reals. Mentre que els estudis acadèmics sovint es basen en conjunts de dades controlats i escenaris sintètics, els professionals han d’operar sota pressió temporal, amb evidències incompletes i estrictes restriccions de confidencialitat. Aquesta recerca doctoral aborda aquesta bretxa mitjançant un programa de Doctorat Industrial dut a terme en col·laboració amb Incide Digital Data S.L., que ha permès accedir a dades d’incidents reals i als fluxos de treball dels professionals, tot mantenint alhora una metodologia científica rigorosa. La tesi investiga com les eines, tècniques i comportaments dels actors d’amenaça poden analitzar-se de manera sistemàtica i transformar-se en artefactes reutilitzables, validats i operativament significatius. S’exploren tres línies de recerca complementàries. En primer lloc, es proposa una metodologia forense integrada per a l’anàlisi de l’ús abusiu d’eines legítimes i de l’activitat en dispositius mòbils, que combina investigacions centrades en eines amb una caracterització estructurada de l’activitat a iOS per donar suport a una reconstrucció precisa, l’automatització i una anàlisi jurídicament sòlida en contextos reals de resposta a incidents. En segon lloc, la recerca desenvolupa un mapatge específic per a Business Email Compromise (BEC) de tàctiques, tècniques i procediments utilitzant el marc MITRE ATT&CK, abordant les limitacions dels informes sobre BEC basats en narratives. La matriu proposada es valida amb casos reals i demostra millores en la comparació de comportaments, l’agrupació d’incidents i l’alineament defensiu. En tercer lloc, la tesi dissenya i avalua empíricament una biblioteca de detecció basada en YARA orientada a tècniques d’anti-anàlisi de malware, amb especial atenció al comportament anti-màquina virtual i anti-sandbox, posant de manifest tant els punts forts com les limitacions de la detecció estàtica en contextos operatius. A través d’aquestes contribucions, la tesi demostra que els indicadors basats en comportaments i eines proporcionen un valor defensiu durador i que els fluxos analítics híbrids són necessaris per abordar amenaces evasives modernes. En fonamentar la innovació metodològica en la pràctica industrial, aquest treball contribueix a avançar el camp del DFIR cap a una recerca més sistemàtica, reproduïble i operativament rellevant, facilitant investigacions més ràpides i una presa de decisions defensives més consistent. (Español) La investigación en respuesta a incidentes de ciberseguridad y análisis forense digital (DFIR) se enfrenta cada vez más a un equilibrio entre el rigor académico y las realidades operativas de las investigaciones en entornos reales. Mientras que los estudios académicos suelen basarse en conjuntos de datos controlados y escenarios sintéticos, los profesionales deben operar bajo presión temporal, con evidencias incompletas y estrictas restricciones de confidencialidad. Esta investigación doctoral aborda esta brecha mediante un programa de Doctorado Industrial realizado en colaboración con Incide Digital Data S.L., que permitió acceder a datos de incidentes reales y a los flujos de trabajo de los profesionales, manteniendo al mismo tiempo una metodología científica rigurosa. La tesis investiga cómo las herramientas, técnicas y comportamientos de los actores de amenazas pueden analizarse de forma sistemática y transformarse en artefactos reutilizables, validados y operativamente significativos. Se exploran tres líneas de investigación complementarias. En primer lugar, se propone una metodología forense integrada para el análisis del uso abusivo de herramientas legítimas y de la actividad en dispositivos móviles, que combina investigaciones centradas en herramientas con una caracterización estructurada de la actividad en iOS para apoyar una reconstrucción precisa, la automatización y un análisis jurídicamente sólido en contextos reales de respuesta a incidentes. En segundo lugar, la investigación desarrolla un mapeo específico para Business Email Compromise (BEC) de tácticas, técnicas y procedimientos utilizando el marco MITRE ATT&CK, abordando las limitaciones de los informes sobre BEC basados en narrativas. La matriz propuesta se valida con casos reales y demuestra mejoras en la comparación de comportamientos, la agrupación de incidentes y la alineación defensiva. En tercer lugar, la tesis diseña y evalúa empíricamente una biblioteca de detección basada en YARA dirigida a técnicas de anti-análisis de malware, con especial atención al comportamiento anti-máquina virtual y anti-sandbox, destacando tanto las fortalezas como las limitaciones de la detección estática en contextos operativos. A través de estas contribuciones, la tesis demuestra que los indicadores basados en comportamiento y en herramientas proporcionan un valor defensivo duradero y que los flujos analíticos híbridos son necesarios para abordar amenazas evasivas modernas. Al fundamentar la innovación metodológica en la práctica industrial, este trabajo contribuye a avanzar el campo del DFIR hacia una investigación más sistemática, reproducible y operativamente relevante, facilitando investigaciones más rápidas y una toma de decisiones defensivas más consistente.