В этом году в программе мероприятия будет два основных трека: Offensive Track и SecOps Track, в которых собраны более 20 тем технической направленности. Кроме того, на Community Track будут представлены короткие доклады и воркшопы.
Финальная программа конференции еще формируется, но уже доступны подробные описания докладов. Перечислим некоторые из них.
Offensive Track
В этом треке будут собраны доклады об актуальных техниках атак, а также темы, связанные с этичным хакингом, аспектами выявления уязвимостей и их эксплуатации.
«NT-хеш пароля внутри Passwordless (Kerberos+PKINIT) в Windows — что? зачем? почему?». Николай Долбин, Антон Акимов.
Наверное, все знают, как работает онлайн/оффлайн аутентификация в доменной Windows машине по паролю. Но, наверное, мало кто знает, как работает онлайн/оффлайн аутентификация в доменной Windows машине по смарт-карте. Спикеры расскажут, что может или не может сделать в обоих случаях потенциальный нарушитель, чтобы получить аутентификационную информацию пользователя.
«Современные авто: от секретов в прошивке ЭБУ до удаленного "окирпичивания" целого автопарка». Сергей Ануфриенко, Александр Козлов.
Все мы в той или иной степени осведомлены о том, что подключенные устройства (IoT) нередко оказываются уязвимыми с точки зрения информационной безопасности. В то же время сегодня значительная часть современных автомобилей является подключенной — имеет связь с облачными сервисами производителя. Авторы доклада на конкретных примерах покажут, с какими уязвимостями в автомобильных блоках они сталкивались в своей работе, какие сценарии атак возможны через доступные интерфейсы (включая SMS-сообщения и облачную инфраструктуру) и какие последствия это может иметь для безопасности и эксплуатации транспортных средств.
«От А до Бутрома: уязвимости в цепочке загрузки SoC Kirin и Balong». ValdikSS.
Спикер расскажет об уязвимостях BootROM, присущих модемам всего семейства Huawei Balong за последние 12 лет (включая модели с поддержкой 5G), а также смартфонам на процессоре Kirin 980 (2019).
«Успешные ошибки: новые техники Code Injection и SSTI». Владислав Корчагин.
В этом исследовании будут представлены две техники внедрения кода и SSTI: error-based и boolean error-based blind. Спикер продемонстрирует полезные нагрузки для пяти языков программирования: Python, PHP, Java, Ruby и NodeJS. Кроме этого, он расскажет об особенностях универсального обнаружения уязвимостей при помощи данных техник, что позволит эффективно автоматизировать выявление слепого внедрения.
SecOps Track
Этот трек объединяет доклады о практической защите на всех уровнях: от кода до инфраструктуры. Речь пойдет о реальных кейсах SecOps, стратегии AppSec и рабочих подходах к безопасной разработке.
«DisTrolles. Мал контейнер, да дорог». Иван Горюшкин.
Distroless образы — это компактно, безопасно и быстро, но не всегда, не везде и не для всех. В докладе будут разобраны преимущества и недостатки перехода на Distroless, а также даны практические рекомендации по внедрению и анализу безопасности. На конкретных примерах будет разобрано, как и когда оправдано использование этой технологии.
«Плагины атакуют! Изучаем функционал вредоносных расширений для Visual Studio Code». Станислав Раковский.
Спикер расскажет о кампаниях, в рамках которых злоумышленникам удалось опубликовать вредоносную нагрузку в магазине расширений VSCode, несмотря на комплекс превентивных мер, которые использует Microsoft для защиты своих пользователей.
«Спидраннеры — это white hat hacker’ы от мира геймдева». Владислав Павловский, Станислав Косолапов.
Спидраны в 2025 году — это большая сформировавшаяся культура, в которой люди на чистом энтузиазме готовы пойти на любые трюки, которые позволят сократить время прохождения игры. И в какой-то момент кажется, что они зашли в своем стремлении настолько далеко, что порой буквально используют те же техники и инструменты, что и пентестеры и реверс-инженеры при анализе сайтов и программ.
В рамках этого выступления ИБ-инженер и лидер российского спидран-сообщества объединились, чтобы вместе рассмотреть этот феномен — от входа в сферу до передовых решений по реверс-инжинирингу и автоматизации!
Информация о других докладах и программе мероприятия доступна на официальном сайте ZeroNights.
Реклама. ООО «Кибер Сервис». ИНН 7725496205.
