HF 2022 - Call for Papers

En première partie, une discussion sur la nécessité d'avoir des joueurs dans le Blue Team ; ensuite, quelques conseils de carrière à partager, des leçons apprises au fil du temps.

In 2022, most of us have bought goods and services online or using mobile apps, for convenience, for safety (e.g., pandemic) or as a matter of personal preference. As mobile payments and integrations with third-party payment processors become more and more prevalent, common AppSec mistakes from the past reappear under new forms. Merchants who overlook security best practices and fail to secure their systems can be victims of fraud.

In this talk, we will cover some examples of payment APIs and mobile in-app purchases (e.g., with Apple Pay or Google Play Store) that fail to perform sufficient validation in ways that may have devastating financial and reputational impact to merchants. We aim to bring awareness to these often-overlooked issues and provide recommendations to avoid these vulnerabilities with real-world examples.

Dans cette présentation, je vais vous parler de ce qui m'a amené à m'intéresser à la programmation et à la sécurité. Je vais commencer par mes premières expériences avec Scratch. Puis continuer jusqu'à ma première participation à un CTF lors du iHack 2022.

Dans une carrière en TI, les certification professionnelle sont autant aimées que détestées. Je démystifie le domaine basé sur mon expérience. Après des dizaines de certifications, mon expérience du domaine est excellente.

Red always wins… when we work in silos! In this talk, we’ll share our journey through the evolution of internal Purple Team exercises, from the typical project-based approach to a continuous synergy with several teams. Taking inspiration from OODA loop, SOC operations and publicly available tools (Mitre ATT&CK, Vectr, git), we’ll share stories and, we hope, some words of wisdom.

Karolynn Boulet, alias Kar0BF la recruteure du Serveur vous donne des trucs et astuces sur l'art de la négociation et comment bien se vendre

Les sujets élaborés seront :
- Comment bien se vendre
- La négociation préembauche
- La négociation annuelle
- Déterminer sa valeur sur le marché

Are you new or looking to get into the security field, specifically penetration testing? You have been told that doing CTFs are a good way to gain some skills.

Doing a lot of CTFs and Boot to Root challenges give some required analytical and technical skills needed but it does skew a person's perspective about what is needed when they go into a penetration test for a client. So let us go over
some of the things that are different and might be jarring to a new penetration tester.

8 stratégies qui à coup sûr vous feront rater votre gestion de crise « Cyber »! Marquer les esprits par l’absurde, c’est l’objectif de cette conférence participative. De cette façon, vous serez pourquoi, 60% des entreprises ferment après une cyberattaque. Vous ne pourrez plus dire que vous ne saviez pas !

L'industrie déborde d'histoires de startup de cybersécurité s'étant appuyées sur le capital de risque pour financer leur croissance. Malheureusement, peu de ces histoires ont eu lieu au Québec, ce qui a pour effet de limiter les ressources et l'aide disponible localement pour s'y lancer. Cette conférence vise à démystifier ce monde et à fournir une base à tout expert local voulant se lancer à l'aventure.

TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA TBA

Microsoft 365 is one of the most useful tools in the enterprise today, but to attackers it's both the popular initial access point and the treasure trove of information. Let's discuss the most popular attack methods, ways of detecting them, and the strategies and tools available to defend the M365 environment.

Dans notre quotidien, en tant qu’experts en infosec, nous utilisons tous divers produits de cybersécurité (FW, SIEM, EDR, XDR, TI, VM, NGAV, SASE, CASB, CSPM, SOAR, BBQ, WTF) parfois par dizaine afin de protéger nos entreprises et clients. Pourtant, lorsque nous pensons à notre carrière, le réflexe de beaucoup d’entre nous est de nous projeter comme pentester, reverser, architectes, analystes et autres fonctions de service dans des compagnies prestigieuses. Alors que d’autres pays utilisent leur(s) talent(s) afin de construire les produits de demain qui leur permettent de dominer le marché de la cybersécurité et de décider de la direction du changement, nous (au Québec) tardons à prendre ces initiatives et à faire partie de cette scène internationale…

Mais qu’est-ce qu’un produit? Comment sont-ils créés? Comment pourrait-on se réapproprier ce talent localement et changer notre perspective centrée sur le service?

Dans cette présentation (non-technique) nous aborderons ces sujets afin de démystifier comment les produits d’infosec sont généralement construits, ce qu’est la gestion de produit (product management), qu’est-ce qui fait qu’un produit est bon ou mauvais, et comment comment adopter une vision de résolution de problèmes pour changer votre perspective sur les solutions à vos défis d’infosec.

Cette présentation portera non seulement sur le cadre juridique, mais également sur les impacts techniques pour les développeurs, ingénieurs et entrepreneurs œuvrant dans un cadre technologique en répondant à des questions telles que : (1) Quelles sont les obligations des entreprises à l’égard de leurs produits en termes de sécurité ? (2) Qu’est-ce que ces obligations signifient pour les cycles de développement ? (3) Quelles sont les considérations en termes de conception, et comment s’assurer qu’elles soient prises en compte ? (4) Comment peut-on vérifier la conformité avec des tests fonctionnels et non-fonctionnels quant aux produits ? (5) Qui est responsable lorsqu’un produit ne rencontre pas les normes de sécurité et de conception technologique ? (6) Quelles sont nos prédictions pour les prochains mois ?

Plusieurs solutions de sécurité intègrent petit à petit le MITRE ATT&CK Framework afin d’entre autres, classifier les attaques. Quelles pourraient être les autres utilités ? Serait-il possible d’améliorer la couverture de surveillance, de découvrir certains angles morts, enrichir les renseignements sur certaines menaces ? Lors de cette séance, nous ferons un survol du MITRE ATT&CK Framework et verrons de quelle façon il peut bénéficier aux différentes organisations.

Jeff Borr est un conseiller en sécurité Cloud, fraîchement embauché chez Bloggist, une entreprise de publication de contenu dont la plate-forme est hébergée sur AWS.
Alors que Jeff est encore en train de remplir ses formulaires RH, son futur directeur rentre dans la pièce paniqué en lui indiquant que leur site s'est fait hacké et qu'ils ont besoin de lui en urgence.
Suivez Jeff lors de cette investigation fictive qui l'amèneront à découvrir les failles de sécurité de leur compte AWS ainsi que les premières actions qu'il va devoir prendre en urgence afin de stopper l'attaquant.

This presentation aims to talk about different attack scenarios leveraging Kubernetes clusters. We'll dig deeper into an attack scenario using real-world applications to demonstrate different ways attackers and malicious users can use to exploit your cluster and the applications running on it. But first, we’ll give an overview of Kubernetes and its architecture, covering the main components from the Control Plane and the Worker Nodes. Then, we'll use the K8s Threat Matrix, and the MITRE ATT&CK for Containers published this year to discuss the Tactics, Techniques, and Procedures to demonstrate the Recon, Exploitation, and Post-Exploitation phases. After that, we'll provide some best practices for securing your cluster based on the scenarios and the CIS Benchmarks for Kubernetes. We'll show how to use Role-based access control (RBAC) for Access Control, to enable audit logs for security and troubleshooting, and we'll set up some network policies to avoid communication between pods and prevent any lateral movement from attackers.

Attributing a new campaign or malware to a known group is not an exact science. The skills it requires and the considerations surrounding it aren't given nearly as much importance as the technical aspects of malware analysis in training and discussions. Yet, it is often the part that will garner the most attention from journalists and the general public. Proper attribution can add great value to a report; helping organizations relate new activity to their threat model and providing researchers and law enforcement with the means to link clusters of activity. When done wrong, however, it can undermine the credibility of the field and generate undue alarm. Since researchers base their attribution on available material, incorrect links can lead future efforts astray and create lasting confusion.

Les efforts coordonnés pour fermer les marchés illicites en ligne et arrêter leurs participants se sont jusqu’à maintenant avérés inefficaces. Les opérations policières ont perturbé les milieux criminels en ligne, mais seulement pendant une courte période. L’objectif de cette étude est de décrire et de comprendre les impacts d’une récente intervention policière qui adopte une approche différente, soit de viser l’un des principaux facilitateurs des activités illicites sur le darkweb. L’analyse de 2841 messages publiés sur des forums de discussion a permis d’étudier les perceptions des participants relatives aux mécanismes de prévention situationnelle à l’oeuvre dans la fermeture de ce facilitateur, DeepDotWeb, et de comprendre comment ils s’y sont adaptés. Les résultats indiquent que les interventions ayant le potentiel d’augmenter les efforts et les risques associés à la navigation sur le darknet, et qui peuvent en même temps diminuer les bénéfices du crime, sont possiblement plus efficaces que n’importe quelle fermeture de marché unique pour perturber les activités illicites à long terme. La présentation se termine par une discussion sur les développements potentiels pour les opérateurs de service qui sont dans une zone grise de légalité.

Joignez-vous à nous pour cette tradition annuel du Podcast en direct lors de la 1ere soirée du Hackfest!
Opinions, actualités, poutine et assurément quelques dérapages seront au rendez-vous pour discuter de tout ce qui entour la sécurité de l'information!

You work hard to defend against internet based threats but how prepared are you when the attacker is on the literal doorstep? This session will provide a better understanding of the onsite attack surface and some of the more common, practical attack techniques that can result in a difficult to detect network compromise. Attendees will gain a better understanding of the role of Information Security as it pertains to Physical Security and be better equipped to identify gaps in their defenses before they are exploited.

Remote Desktop Protocol (RDP) is the de facto standard for remoting in Windows environments. It grew in popularity over the last couple of years due to the pandemic. In addition to system administrators, many remote workers are now relying on it to perform duties on remote systems. RDP is secure when well deployed but, unfortunately, that’s rarely the case and thus clicking through warnings is common. We have spent the last 3 years working on and reimplementing parts of RDP in PyRDP, our open-source RDP library. This presentation is about what we have learned and can be applied to attack and defend against RDP attacks.

From an attacker’s perspective, we will cover conventional RDP attacks such as Monster-in-the-Middle (MITM) of RDP connections, capture of NetNTLMv2 hashes and techniques to bypass conventional defense mechanisms such as Network Level Authentication (NLA). Case in point: Did you know that by default all clients allow server-side NLA downgrades right now? Additionally, we will present scenarios where RDP is used to lure targets by sending specifically crafted “.rdp” files via phishing and performing client-side exploitation. This will enable us to understand and identify the risks with RDP.

From the Blue Team’s perspective, we will provide techniques and tools to detect all attacks showcased previously. Additionally, we will demonstrate the risks of using 3rd party RDP clients. Finally, we will provide playbooks to install hardened RDP configurations for both clients and servers through GPO and to deploy a corporate-wide RDP public key infrastructure (PKI): the most efficient way of getting rid of most of the RDP attacks for good.

Il a été démontré que l'environnement des utilisateurs influence les stratégies de création de mots de passe. Adoptant une perspective d’analyse de réseau (au sens théorique du terme), nous observons l'influence des pairs sur les choix de mots de passe. Plus précisément, nous comparerons 2 bases de données avec des mots de passe réels qui ont été divulgués sur Internet : la première est un réseau social (non délinquant) et l'autre provient d'un forum de hackers (délinquants). Des analyses de régression logistiques ont permises d'observer l'influence d'un réseau de délinquants sur les mots de passe des utilisateurs en incluant leurs caractéristiques et la force de ceux-ci.

Les résultats montrent qu'il existe une différence entre les réseaux concernant les stratégies de création de mots de passe. Les utilisateurs d'un même réseau présentent des comportements similaires mais sont différents des autres réseaux. Les individus qui partagent les mêmes intérêts sociaux semblent être plus susceptibles d'utiliser les mêmes stratégies de création de mot de passe. Les délinquants ont tendance à avoir un mot de passe plus fort et des caractéristiques particulières comme l'utilisation de mots grossiers. Les explications possibles de ces résultats seront discutées.

Web Application Firewalls usage is controversial in the field of application security. Some consider them useless since they are imperfect. Others consider them an interesting ally for virtual patching and for defense in depth. Beyond this debate, firewalls are a reality in several organizations to defend edge services.

Testers may find the presence of such protection to be a drag on their security assessment. As these firewalls cannot always be disabled for testing, it is important to be able to quickly assess whether a circumvention method is possible. We have designed a workshop featuring different scenarios where a firewall is used to block certain attacks or features.

En tant que nouveau propriétaire, comment des habilités acquises l'hors de CTF peuvent aider à améliorer notre société et nous aider à survivre contre les scams des colporteurs!

Achieving the “Shift Left” transformation is the goal of many organizations when it comes to application security. To do so, important amounts of efforts and money are spent to include security activities in the CI/CD pipeline. Such activities are often considered as both the starting point and the target of the shift left transformation. In fact, security activities in the CI/CD are just a portion of an organization journey to achieve the shift left. Indeed Secure Software Development Practices (SSDLC) as well are an important portion of that journey but there are other key aspects which are less often considered.

In this talk we will present prerequisites, dependencies and outcomes of security activities integration in CI/CD organizations faces during their shift left journey. We will focus on the importance of development and security practices outside of the normal scope of SSDLC. In other words, what should be considered aside pure AppSec practices in the road to success of the shift left journey.

This talk is covering some of the tricks and tools that can be used to successfully perform a red team engagement in a world where the EDR will do everything to stop you.

Les ordinateurs font confiance aux humains. Les humains utilisent des claviers. D'où la spécification universelle - HID, ou Human Interface Device. L'USB Rubber Ducky - ressemble à une clé USB innocente pour les humains abuse de cette confiance pour fournir des charges utiles puissantes, en injectant des frappes à des vitesses surhumaines. Nous découvrirons ensemble les joies ducky script.

Overview of NFT related tools and platforms alongside a step by step guide on how to steal an NFT.

In this presentation we will cover from a high point of view what constitutes an NFT, and we'll look at some tools/websites to manipulate them at the blockchain level.

We'll leave some time for participants to setup the Metamask wallet. If you want to pre-prepare go to https://metamask.io/ and setup the browser plugin in a isolated browser profile.

As a security researcher, it is a herculean task not to wonder and poke at many of the apps we interact with on a daily basis. Platforms in industries such as banking, education, social media, security, document management, IoT, and healthcare are riddled with security vulnerabilities that go undetected for months or even years. While hackers have the luxury of exploiting these vulnerabilities under the guise of anonymity, white hats and cybersecurity researchers are often faced with resistance or are flat-out ignored when trying to responsible disclose vulnerabilities.
In this talk, I will discuss the pains of responsible disclosure and bug bounty programs and how companies should rethink how they handle disclosed vulnerabilities from researchers. The aim is to bring awareness to often overlooked and misunderstood issues and provide solutions that encourage healthy responsible disclosure interactions.

L'impact de la désinformation en ligne sur la société est indéniable particulièrement depuis le début de la pandémie. Comment les principes de sensibilisation à la cybersécurité peuvent nous fournir des pistes de solutions pour combattre la désinformation.

En tant que testeur éthique ou opérateur red/purple team, on préfère normalement effectuer des tâches techniques plutôt que rédiger des rapports dans Word ou créer des présentations PowerPoint. Il y a 1 an, notre équipe a changé vers une approche DevOps. Cette conférence va me permettre de vous montrer les changements qu'on a réalisés. !SPOILER ALERT!, on n'utilise plus Word et PowerPoint, que du Markdown. La rédaction de rapport et la création de présentation sont entièrement réalisées dans VSCode. On utilise des plug-ins pour que le tout soit réalisable. Je vais vous faire part des plug-ins qu'on utilise en plus de notre plug-in maison.

Une approche DevOps ne s'arrête pas là. L'utilisation plus poussée de Gitlab est aussi une grosse partie du changement vers DevOps. Après s'être familiarisé avec cet outil, on réalise que Git est très puissant et la courbe d'apprentissage est moins abrupte de ce que l'on peut croire. Git est en mesure d'amélioré grandement la gestion, la productivité, l'avancement de nos tâches ainsi que l'automatisation de plusieurs processus. Durant cette conférence, il sera question d'exemples concrets d'avant et d'après l'utilisation de Git.

Si je vous disais qu'il y a plus encore, me croiriez-vous? Ajouter Terraform, un Bot et LOKI à tout cela pour avoir une recette gagnante.

LOKI est le produit du malware dev d'un membre notre équipe. LOKI est plus qu'important pour la réalisation d'opérations aux seins notre équipe et je vous explique pourquoi.

En résumé, cette présentation va vous permettre d'apprendre sur l'amélioration de plusieurs processus qu'a réalisé une équipe de 30 pirates éthiques et en espérant vous aider pour l'amélioration des vôtres.

Les sujets abordés lors de la présentation: VSCode, Markdown, Gitlab, Approche Développeur (DevOps), Bot Keybase, Terraform et LOKI un projet de malware dev

Discussion is in French, but slides will be in English! Prizes and summary of the CTFs (Classic, Beginner and Pro) will be discussed. The team will be presented along with the challenges.
Discussion is in French, but slides will be in English! Prizes and summary of the CTFs (Classic, Beginner and Pro) will be discussed. The team will be presented along with the challenges.