スピーカー

/* No speaking simultaneous interpretation is available , however, we try to show the slides in both english & japanese as much as we can. */

/* [en] means English speaker, [ja] means Japanese speaker. */

[ja] "A New Era of CSS Injection"

mage

脆弱性診断/バグバウンティにおいて、XSSは困難だが任意のCSSなら挿入可能というシチュエーション(CSS Injection)をまれによく見るようになってきた。しかしながら、CSSそのものの表現力、制約によってXSSよりも悪用が困難とされている。そこで、CSS Injectionのより現実的な驚異を知らしめるため、CSS recursive import等様々な手法が提案されている。その中で、より効率的でパフォーマンスも良く手軽なCSS recursive importの応用手法、名付けて「擬似クラスチェーン」を考案したので、その技術背景と実装を紹介したい。

https://github.com/m---/onsen

mage:

イエラエセキュリティ侵入社員

[en] "WiFi Analysis with the WiFiCactus and WiFiKraken"

Mike Spicer (d4rkm4tter)

There has never been a better time to scan the wireless around us thanks to the number of internet connected devices and IoT craze. D4rkm4tter created the WiFiCactus and WiFiKraken and will discuss how they are used to capture and analyze large portions of the WiFi spectrum to provide insights, troubleshoot and look for leaking information. He will discuss data captured at hacker conferences throughout the world as well as demonstrate his process for analysis so that anyone can start capturing WiFi on their own.

Mike Spicer (d4rkm4tter):

Mike Spicer (d4rkm4tter) is a mad scientist hacker who likes to meddle with hardware and software. He is particularly obsessed with wireless. He has a degree in computer science from Southern Utah University which he has put to use building and breaking a wide array of systems. These include web application pentesting, wireless monitoring and tracking as well as good old fashioned reverse engineering. He is the creator of the #WiFiCactus and has been seen presenting at conferences around the world. He is a Kismet cultist and active in the wireless and wardriving communities.

[ja] "正しい獲物を標的に：近頃の水飲み場攻撃の事例研究分析"

陳悅庭

今回の発表では、今年発見した中国語話者を対象にした水飲み場攻撃の事例を紹介したいと思います。

2019年4月、私たちは中国人向けのマルウエアを観測している過程で、水飲み場となっていたとある中国新聞サイトを観察し始めました。

この発表ではより深くまでこの事例を説明し、感染チェーンと関連のマルウエア活動について話したいと思います。

背後にいた犯罪者たちは、中国政府にアクセスを禁止された中国新聞サイトにも関わらず、Webシェル、フィッシングリンクや本格的なマルウエアなど悪意のコンテンツで水飲み場としてその新聞サイトを武装しました。

このキャンペーンはカスタマイズされたマルウエアを使っていて、異なるエクスプロイトを使って正常なファイルに偽っていました。

ドメイン分析により、C2として使っていたIPアドレスの一つは、他のアンドロイドモバイルマルウエアにもC2として使っていることを判明しました。解析すると同じ中国人向けのマルウエアで、APKファイルにELFマルウエアが潜んでいました。

犯罪者たちは正規の中国系ISPにWindowsとAndroid向けマルウエアのC2として不正利用していました。

私たちの解析によって、水飲み場攻撃の感染チェーンと後ろにいた犯罪者の活動を暴きました。将来的にはその犯罪者は誰なのか、目的はなんなのかを説明できるように観測を続けたいと思います。

陳悅庭:

フォーティネットのセキュリティ研究機関であるフォーティガードラボの研究者で、日本で世界中のセキュリティインシデントを研究しています。横浜国立大学環境情報学府卒業。

[en] "Bug-Bounty-Boosters – Scanning for exploitable vulnerabilities at scale"

Karsten Nohl

This talks bridges the visibility and tool gap between security researchers and corporate vulnerability managers.

Security researchers are typically interested in fully understanding the potential of a few exploits on a global scale. Corporate vuln managers, on the other hand, need to understand the prevalence of thousands of vulnerabilities and hardening gaps for a single company.

The tools used by the two groups are distinctly different: Researchers create tests for specific issues, while corporate teams use comprehensive collections of test cases.

We explain how researchers can leverage open-source tools, tap the community pool of security knowledge, and find a large range of security issues on a global scale.

We then dive into some of the most commonly found issues, that might just earn you a bug bounty reward.

Karsten Nohl:

Karsten is a cryptographer and security researcher. He likes to test security assumptions in proprietary systems and typically breaks them. His professional work includes support of Reliance Jio, the fastest growing company in the world.

[ja] "異体字セレクタ難読化シェル芸"

kanata

Unicodeの特殊な機能を利用したステガノグラフィについて説明します。

幾つかのマルウェアはC2通信する際にステガノグラフィを行い、通信内容の隠蔽を図るタイプがあります。

今回、これまでにない、Unicodeを利用した新たな隠蔽方法を発見しました。

普段の生活の中でも使うチャンスがあるかもしれません、その方法について説明します。

kanata:

CTFとシェル芸と温泉好きなおっさんシェル芸を難読化するヤベー奴

[en] "Intelligence Powered Malware Hunting"

Brandon Levene , Julio Canto

Virus Totalはウィルス、ワーム、trojanなどの悪意のあるコンテンツを含むファイルやURLに関する無料のサービスを提供するために2004年に作られました。

元祖Virus TotalのサービスはVTI(Virus Total Intelligence)に改良され、今や“

マルウェア、サンドボックスの挙動パターン、ネットワーク情報、Officeマクロ、PE/ELF/Mach-oバイナリのインポート/エクスポート、Authenticodeのシグネチャ他多数のファイルプロパティ情報のGoogle”と呼ばれている。

Virus Totalの本社からブランドンレヴィーン氏（ジュリオカント氏補助）が”Intelligence Powered Malware Hunting”と題したプレゼンテーションの中でVTIやVirus Total EntepriseについてAVTOKYOで最近の機能含む最新情報とともに詳しくご紹介します。

Brandon Levene:

ブランドン氏は、Google社のアプライドインテリジェンス(Chronicle)部門のヘッド。

元SOCアナリストであり、blue-teamerとして多数のインシデントハンドリング、スレットリサーチ機関を立ち上げてきた。多くのBsidesカンファレンスやその他招待制セキュリティイベントでもスピーカーの経験を持つ。スレット関連の出版も多数。

OSCP, GCIH, GCIA, GPEN, GNFA, GCFA, Security+

Julio Canto:

ジュリオ氏は、Google社のシニアソフトウェアエンジニア（Chronicle, Google-X/Moonshotプロジェクトに参画）。元々Virus Totalのコアの設計含むVirus Totalの初期開発から携わってきた。Google社による買収後は、現アンチウィルススキャナーとそのインテグを担当。同氏が作り出したアンチウィルス更新アプリはVirus Totalを最新状態に保つベースとなっている。Virus Total Enterpriseのツール類の開発にも寄与。

[ja] "Publicなコンテナイメージに含まれる脆弱性を可視化する"

天地知也(@tomoyamachi)

自作OSSツールのDockle,

コミッタであるTrivyを通して、公開されているイメージに含まれる脆弱性を可視化し比較する。公開コンテナイメージを利用することの危険性と回避法を伝える。

天地知也(@tomoyamachi):

Container Image LinterのDockleの作者。Trivy, Vulsのメインコミッタ。

[ja] "Deep Learn the Darkweb"

新井悠(Yu Arai)

近年、違法薬物、児童ポルノ、銃などの火器、あるいはサイバー攻撃ツールや攻撃代行サービスといった違法物品ならびにサービスが、ダークウェブ上に構築された仮想取引所などで取引されており、これを利用することにより誰でもそれら違法物品を手に入れることが可能になってきている。実際に、違法物品を入手して、法執行機関に検挙された事例も存在する。本講演では、そうした違法物品の取引所を早期に発見するための手段として、機械学習を使用して早期に検出する方法について説明する。

新井悠(Yu Arai):

2000年に情報セキュリティ業界に飛び込み、株式会社ラックにてSOC事業の立ち上げやアメリカ事務所勤務等を経験。その後情報セキュリティの研究者としてWindowsやInternet Explorerといった著名なソフトウェアに数々の脆弱性を発見する。ネットワークワームの跳梁跋扈という時代の変化から研究対象をマルウェアへ照準を移行させ、著作や研究成果を発表した。2013年8月からトレンドマイクロ株式会社で標的型マルウェアへの対応などを担当。2019年7月、NTTデータのExecutive Security Analystに就任。近年は数理モデルや機械学習を使用したセキュリティ対策の研究を行っている。2017年より大阪大学非常勤講師。著書・監修・翻訳書に『サイバーセキュリティプログラミング』や『アナライジング・マルウェア』がある。CISSP。

[en] "アクセスカードのクローン攻撃は難しくない。"

David M. N. Bryan

多くの人が低周波および高周波アクセスコントロールカード（アクセスカード）を使用して、オフィス、データセンター、さらにはハードウェアデバイスへのアクセスを制御しています。今回、Proxmark3-rdv4ハードウェア用のオープンソースのウェブインターフェースを作成しました。これにより、誰でも簡単にこれらのツールを使用できるようになります。さらに、本ツールはRaspberry Pi zeroなどに簡単に展開でき、Webブラウザーを備えた任意のモバイルデバイスで接続できるため、侵入テストプロジェクト用のモバイルツールとしても使えます。

一般的なアクセスカードの種類と、これらのカードの一部を簡単に複製したり、カードリーダーに対して総当たり（ブルートフォース）攻撃を実行する方法について発表します。また発表後にソフトウェアもハードウェアも体験できるデモ用のデバイスをセットアップし、発表後に人々がアクセスカードのクローンを作成してみることが試せるようにします。

David M. N. Bryan:

Bryanは、IBMのエリートセキュリティテストチームであるX-Force RedのペネトレーションテスターとしてX-Force Redのコンサルタント向けに標準化されたツールとプロセスを確立し、侵入テストプロジェクトで顧客と協力すること等を行なっています。

Davidは、世界のトップ１０銀行でセキュリティを擁護の経験からDEF CONネットワークを保護するまで、10年以上に渡っての経験があります。また、Davidは20年以上にわたって情報セキュリティコミュニティに参加してきてます。 Davidは、ATM、組み込み系機器、ネットワーク、ワイヤレス、Webアプリケーション、物理的セキュリティなどをカバーするペネトレーションテスターとして、多くのシナリオで攻撃者として活躍。 Davidは、BlackHat、DEF CON、ToorCon、LayerOne、ToorCamp、BSides Events、AppSecUSAなどを含む多くのセキュリティ会議で発表しました。