Saluti ai partecipanti e agli Sponsor
Fine prevista per le 10:45
Commercial spyware on iOS has evolved dramatically since Pegasus in 2016. This talk reviews a decade of major reports and sample analyses (Pegasus, Predator, Graphite, NoClip), examines attacker TTPs and cleanup behaviors, assesses current detection methods and tools and offers recommendations for businesses, organisations and researchers.
Fine prevista per le 11:30
Il tabletop "Mare Mosso" immerge i partecipanti in uno scenario di alta tensione geopolitica focalizzato su un istituto di ricerca d'eccellenza nel settore della sicurezza marittima e della difesa. L’equilibrio della struttura viene improvvisamente spezzato dall'incursione di un drone, protagonista di un’operazione di spionaggio coordinata da una potenza straniera. In qualità di membri del comitato di crisi, i partecipanti di HackInBo dovranno affrontare le sfide poste da questo attacco, analizzando progressivamente rischi e implicazioni strategiche. Attraverso un sistema di votazione in real time, ogni decisione presa dall'aula influenzerà direttamente l’evoluzione della narrazione, determinando l'esito della risposta all'incidente. I partecipanti vestiranno i panni del team di risposta alle crisi per neutralizzare la minaccia asimmetrica progettata per colpire la sicurezza e la supremazia tecnologica marittima dell'ente.
Fine prevista per le 12:15
Cosa accade all'interno di un decoder quando riceve istruzioni crittografate? Sono sempre stato affascinato dalle "scatole chiuse" e dal desiderio di smontarle per capire cosa nascondessero. Ma a volte, la curiosità si scontra con limiti tecnici che sembrano insuperabili. Questo talk analizza il mio lungo viaggio all'interno del sistema satellitare NAGRA Tiger. Partiremo da una Remote Code Execution (RCE) ottenuta in modo decisamente non convenzionale. Addentrandoci nel sistema di crittografia vedremo come un LLM ed un AI siano infinitamente d'aiuto per ridurre le tempistiche di analisi di alcune funzioni.
Fine prevista per le 13:00
Ci rivediamo tra pochissimo...
Fine prevista per le 14:15
Quando parliamo di sicurezza applicativa pensiamo spesso a exploit tecnici, RCE, escalation di privilegi, bypass di controlli o vulnerabilità misurabili con una CVSS. Eppure, negli ecosistemi moderni, uno dei punti più fragili resta la fiducia: quella che l’utente ripone nei contatti interni, nelle interfacce applicative e nei segnali visivi che usa ogni giorno per decidere rapidamente se qualcosa sia legittimo oppure no. Fiducia che riguarda anche il vendor, da cui ci si aspetta una corretta valutazione delle criticità segnalate e una gestione efficace del rischio. Il talk partirà da un caso concreto emerso su piattaforme Microsoft 365, nel quale è stato possibile abusare di elementi apparentemente ordinari dell’interfaccia per generare impersonificazione trusted, alterare la percezione dell’utente e creare scenari di attacco che compromettono il modello di fiducia che utente finale si aspetta nell’interazione quotidiana. Una vulnerabilità insidiosa, meno appariscente rispetto a un exploit tradizionale e, proprio per questo, oggetto di una gestione poco soddisfacente nel processo di segnalazione. Ma la fiducia non riguarda solo l’utente finale. È anche quella tra chi segnala una vulnerabilità e il vendor chiamato a valutarla e correggerla. Un processo di coordinated vulnerability disclosure esiste per creare un canale sicuro tra ricercatori e vendor, ma se quel canale diventa opaco, burocratico, minimizzante o viene ridotto a una raccolta gratuita di segnalazioni, l’intera impalcatura perde senso. Partendo dall’esperienza diretta con MSRC e da casi recenti come Chaotic Eclipse e l’incidente Lovable/HackerOne, vedremo come la fiducia sia fragile non solo dentro le applicazioni, ma anche nei processi che dovrebbero proteggerle.
Fine prevista per le 15:15
Let's talk about some critical infrastructure that millions of people use every day: Public transportation. In this talk, I’ll present some findings that I discovered in the public transportation ecosystem of one of the largest cities in Argentina, impacting more than 1.5 million people daily. Reading code, chaining vulnerabilities, weak access controls, and flawed internal designs, I got full access to core mobility systems, from buses to taxis, including DVRs, transport cards, user data, real-time tracking and administrative panels. We’ll walk through the technical exploitation path, the real-world impact and the lessons learned.
Fine prevista per le 16:00
Report e Premiazione Squadre HackInBo® Forensic Games
Fine prevista per le 18:00
Saluti Finali
Fine prevista per le 18:15
