Timetable is here
Abstract :
With the spread of IMDSv2 and Serverless, it has become more difficult to seize AWS privileges using traditional SSRF. However, browser-based attack vectors using Cognito Identity Pools remain viable. In this talk, we will outline the kill chain from Recon to Privilege Escalation and Post-Exploitation, and present PoCs and defenses, including presigned URL misconfiguration and metadata XSS.
Speakers Bio : Azara / Norihide Saito(@a_zara_n)
Security engineer. Norihide Saito has been involved in development and security-related work since he was a student, and joined Flatt Security in 2020. He is currently a security engineer in charge of security diagnostics mainly for web applications and public clouds, and is active in external organizations such as ISOG-J WG1.
From Browser to Cloud Administrator - Modern Credential Access in AWS Serverless by Azara / 齋藤 徳秀(@a_zara_n)
講演概要：
IMDSv2とサーバーレスの普及により、従来のSSRFを用いたAWS権限の奪取はより困難になっています。しかしながら、Cognito Identity Poolsを用いたブラウザベースの攻撃ベクトルは依然として有効です。本講演では、偵察から権限昇格、そして事後攻撃までのキルチェーンを概説し、署名付きURLの設定ミスやメタデータXSSといった概念実証と防御策を紹介します。
講演者紹介：Azara / 齋藤 徳秀(@a_zara_n)
セキュリティエンジニア。学生時代から開発やセキュリティ関連の業務に携わり、2020年にFlatt Securityに入社。現在はWebアプリケーションやパブリッククラウドを中心にセキュリティ診断を担当するセキュリティエンジニアとして、ISOG-J WG1などの外部団体でも活動している。
Abstract :
This presentation investigates the infrastructure of a Phishing-as-a-Service (PhaaS) operation, focusing on the significant Chinese underground phishing ecosystem.
China has emerged as a key player in the global phishing landscape, with several active PhaaS platforms such as Magic-cat (Darcula), LightHouse, Haozi, or Panda Shop. These services offer streamlined methods for novice phishers to embark on their phishing careers.
Since November 2024, our research has focused on an active PhaaS operator that has developed numerous phishing kits for various services worldwide. We have unveiled a sophisticated PhaaS infrastructure that employs open-source software and a Docker-based management system for deploying phishing kits. Furthermore, the operator customizes phishing kits, allowing for targeted attacks, including synchronized phishing techniques designed to bypass multi-factor authentication and collect credit card information.
Through victimology research, we analyzed over 40 distinct phishing kits, revealing significant trends in targeting patterns and the phishing kit development cycle dynamics during the PhaaS's active period. Additionally, this research provided valuable insights into the infrastructure and the backgrounds of the individuals involved. By profiling the operators' dual roles as administrators and developers of PhaaS, we have enhanced the understanding of China's competitive and evolving underground phishing ecosystem.
To address the growing threat of phishing, we propose a set of strategies for effectively monitoring phishing campaigns and mitigating the impact of the escalating incidents of fraud.
Speaker Bio : Shadow Liu (シャドー リュウ)
Shadow is a security analyst in Japanese company, specializes in incident response and threat intelligence. Her current focus lies in tracking underground markets and phishing campaigns, transforming these findings into actionable intelligence to help organizations strengthen their defenses. She sees incident response as a form of puzzle-solving, where each fragment of evidence contributes to a clearer picture of the threat landscape and attacker intent.
講演者紹介：Lime Chen (ライム チェン)
With over 10 years of experience in cybersecurity, Lime specializes in threat intelligence, particularly focusing on East Asia and the underground phishing market. He has worked at Fortinet and Rakuten, contributing to both blue team and red team efforts, which has provided them with a well-rounded perspective on cybersecurity challenges. Currently, Lime is a security researcher at Macnica, where he concentrates on vulnerability advisory and in-depth research into the Chinese underground market. His expertise helps organizations navigate the complexities of today's cyber threats.
講演概要：
本講演では、中国を拠点とするPhishing-as-a-Service（PhaaS）エコシステムの現状と実体を解明し、インフラを詳細に分析します。
昨今、中国は世界的なフィッシング攻撃の重要な拠点の一つとなっており、Magic-cat（別名：Darcula）、LightHouse、Haozi、Panda Shopなど、複数のPhaaSが顕著に活動しています。これらのサービスは、初心者の攻撃者でも簡単にフィッシングを実行できる環境を整えています。
2024年11月以降、我々は、世界各地のサービスを標的とする複数のフィッシングキットを開発するPhaaSオペレーターに着目して調査を実施しました。その結果、オープンソースソフトウェアやDockerベースの管理システムを活用してフィッシングキットを展開する、高度に組織化されたPhaaSインフラを確認しました。さらに、このオペレーターは標的に応じてキットをカスタマイズし、多要素認証を回避しながらクレジットカード情報を窃取する「リアルタイムフィッシング」などの攻撃手法を用いています。
被害分析を通じて、40 種類以上のフィッシングキットを調査し、標的傾向や開発サイクルの動向など、PhaaS活動における主要なパターンを明らかにしました。また、運営インフラおよび関与者の背景についても新たな知見を得ました。特に、管理者と開発者を兼任する二重の役割に着目することで、中国の地下フィッシング市場が競争的に進化を遂げている実態をより深く理解しました。
最後に、増大するフィッシング脅威に対応するために、効果的な監視体制の構築および被害軽減策についても提案を示します。
講演者紹介：Shadow Liu (シャドー リュウ)
日本企業に所属するサイバーセキュリティアナリストで、インシデントレスポンスおよび脅威インテリジェンスを専門としています。現在は、アンダーグラウンドマーケットやフィッシングキャンペーンの追跡に注力し、得られた知見を実践的なインテリジェンスへと変換することで、組織の防御力強化に貢献しています。
シャドウは、インシデントレスポンスを「パズルを解く作業」に例えています。個々の証拠の断片をつなぎ合わせることで、脅威の全体像や攻撃者の意図をより明確に描き出すことができると考えています。
講演者紹介：Lime Chen (ライム チェン)
Limeはサイバーセキュリティ分野で10年以上の経験を持ち、特に東アジア地域とアンダーグラウンドのフィッシング市場に焦点を当てた脅威インテリジェンスを専門としています。これまでにFortinetや楽天で勤務し、ブルーチーム（防御）とレッドチーム（攻撃）の両方に携わってきたことで、サイバーセキュリティの課題に対する包括的な視点を培ってきました。
現在はMacnicaのセキュリティリサーチャーとして、脆弱性アドバイザリーや中国のアンダーグラウンド市場に関する調査を行っています。
Abstract :
Although the Bluetooth communication protocol is standardized, its actual behavior depends on the implementation in each device and operating system (OS). This talk introduces a method for identifying devices and OS through Bluetooth Low Energy communication. Using a software-defined radio (SDR), we analyze subtle differences in communication and demonstrate an approach to extract distinctive responses unique to each device and OS.
Speaker Bio :Shio Kudo
A 3rd-year student in the Department of Communications and Computer Engineering, School of Fundamental Science and Engineering, Waseda University. Working as a security engineer intern at GMO Flatt Security, Inc. An organizer of the organization for SECCON Beginners CTF. A CTF player who likes Web and Hardware challenges.
講演概要：
Bluetooth は通信仕様が標準化されていますが、実際の処理はデバイスや OS 上の実装に依存しています。本発表では、 Bluetooth Low Energy 通信からデバイスや OS を識別する手法について紹介します。SDR デバイスを用いて通信の微妙な差異を解析し、デバイスや OS ごとに異なる応答を抽出するアプローチを示します。
講演者紹介：工藤 蒔大
早稲田大学基幹理工学部情報通信学科3年。GMO Flatt Security株式会社に長期インターンのセキュリティエンジニアとして所属。SECCON Beginners CTFの運営メンバー。WebとHardwareが好きなCTFプレイヤー。
Abstract :
Penetration testing is a well-established method for assessing an organization's internal defenses. However, few engagements truly reproduce the multi-layered tactics used by real attackers. In this talk I share technical lessons from full-scope assessments that combined physical intrusion with remote compromise. I cover both attacker and defender perspectives on employee badge cloning, deployment of malicious hardware, lateral movement via repository tampering, and the design of Slack-based C2 channels.
Speaker Bio :Satoki Tsuji
Web Application Tuntsun Shokunin, CTF Player, and Bug Hunter. Member of BunkyoWesterns, the top-ranked CTF team in Japan. Contributed to the organization of SECCON CTF, and has delivered talks at major security conferences including AVTOKYO (2020, 2023, 2024), Security Analyst Summit 2024, Hack Fes. 2024, m0leCon 2025, TyphoonCon Seoul 2025, HITCON 2025, DefCamp 2025, and Queen City Conference 0x3. A DEF CON CTF finalist, renowned for discovering and responsibly reporting vulnerabilities in major web services and software such as Google and Firefox.
講演概要：
ペネトレーションテストは組織の内部防御を評価する手法として定着していますが、実際の攻撃者が駆使する多層的な戦術を十分に再現できている例は少数です。本講演では、物理的侵入とリモート侵害を組み合わせたフルスコープ評価の実戦経験に基づき、技術的な観点から得た知見を共有します。社員証の複製やBadハードウェアの設置といった物理的アプローチと、リポジトリ改ざんによる横展開やSlackを利用したC2設計などの技術的手法を、攻撃者視点と防御者視点の両面から掘り下げて説明します。
講演者紹介：辻 知希
Webアプリケーションつんつん職人、CTFプレイヤー、バグハンター。日本トップCTFチームBunkyoWesternsのメンバーとして活動し、SECCON CTFの運営にも携わる。AVTOKYO (2020, 2023, 2024)、Security Analyst Summit 2024、Hack Fes. 2024、m0leCon 2025、TyphoonCon Seoul 2025、HITCON 2025、DefCamp 2025、Queen City Conference 0x3などのセキュリティカンファレンスで講演。GoogleやFirefoxをはじめとする著名なサービスやソフトウェアの脆弱性を発見・報告を行っている。
Abstract :
This session will focus on ‘Bring Your Own Scripting Interpreter (BYOSI)’, and how it exploits blind spots within trusted execution environments to bypass EDR. By establishing a custom execution environment within a trusted runtime, attackers can operate within the user-land blind spots that remain largely invisible to most EDR solutions.
BYOSI, proposed by oldkingcone, extends Marcello Salvati's “Bring Your Own Interpreter” concept to modern scripting languages. While Bring Your Own Interpreter used .NET, employing modern scripting languages allows this concept to be expanded. This presentation demonstrates that, in addition to PHP shown in prior research, other scripting languages can similarly bypass EDR.
Speaker Bio :Taichi Kotake
He is also known as tkmru, is a security engineer at SODA, inc. He performed security testing of web applications and penetration testing of internal networks. He is also the CEO at Sterra Security Co.,Ltd.
講演概要：
脆弱性のあるドライバを持ち込む「Bring Your Own Driver」をはじめとして、“Bring Your Own”パラダイムは、攻撃者が侵害した端末内に自らに都合の良い実行環境を構築し、EDR（Endpoint Detection and Response）を回避するための定番手法として広まっています。近年、“Bring Your Own”パラダイムは、新たな進化を遂げています。 本セッションでは、「Bring Your Own Scripting Interpreter（BYOSI）」を中心に、信頼された実行環境の死角をどのように活用し、EDRをバイパスするのかを紹介します。信頼されたランタイム内に独自の実行環境を構築することで、多くのEDRにとって可視性の低いユーザーランドの死角で活動できます。
BYOSIは、oldkingcone氏により提唱され、Marcello Salvati氏の「Bring Your Own Interpreter」をモダンなスクリプト言語に拡張したものです。Bring Your Own Interpreterでは.NETが用いられていましたが、モダンなスクリプト言語を用いることでその概念を拡張できます。本発表では、先行研究で示されたPHPに加え、他のスクリプト言語を用いても同様にEDRをバイパス可能であることを紹介します。
講演者紹介：小竹 泰一
株式会社SODAでセキュリティエンジニアをやっている。株式会社ステラセキュリティでは代表取締役を務める。主な著書に「ポートスキャナ自作ではじめるペネトレーションテスト—Linux環境で学ぶ攻撃者の思考（オライリー・ジャパン）」、「マスタリングGhidra—基礎から学ぶリバースエンジニアリング完全マニュアル（オライリージャパン）」、「リバースエンジニアリングツールGhidra実践ガイド（マイナビ出版）」、「WEB+DB PRESS Vol.118 特集3 ツールで簡単! はじめての脆弱性調査（技術評論社）」がある。 物理セキュリティの一環として筋トレにも精力的に取り組む。好きな動物はカワウソ。好きな脆弱性はアルコールインジェクション。
Abstract :
Have you ever thought about using Windows File Explorer to pwn QNAP TS-464?
At Pwn2Own 2024 Ireland, we pwned QNAP TS-464 with several vulnerabilities in SAMBA achieving pre-auth RCE. Unlike the previous engagement when we worked up to the deadline, we identified a distinct vulnerability and gain RCE via Windows File Explorer within three days.
In this talk, we will explain the details of root causes and exploit chain.
Speaker Bio : Jian-Lin Peng
Jian-Lin Peng, aka YingMuo (@YingMuo), is a security researcher at DEVCORE. His work primarily focuses on IoT, macOS kernel and hypervisor security. He has participated in Pwn2Own competitions 2 times, successfully compromising QNAP NAS. He was also a speaker at HITCON PEACE 2022 and DEVCORE CONFERENCE 2024.
講演概要：
Pwn2Own 2024 Irelandでは、SAMBAの複数の脆弱性を突いたQNAP TS-464を乗っ取り、認証前リモートコード実行（RCE）を実現しました。前回の期限直前の取り組みとは異なり、3日以内に明確な脆弱性を特定し、Windowsファイルエクスプローラー経由でRCEを成功させました。
本講演では、根本原因とエクスプロイトチェーンの詳細について説明します。
講演者紹介：ジアンリン・ペン
Jian-Lin Peng（別名YingMuo（@YingMuo））は、DEVCOREのセキュリティ研究者です。主にIoT、macOSカーネル、ハイパーバイザーのセキュリティに焦点を当てています。Pwn2Ownコンペティションに2回参加し、QNAP NASへの侵入に成功しました。また、HITCON PEACE 2022とDEVCORE CONFERENCE 2024でも講演を行いました。
Abstract :
"Vishing in 2025 - How We Get Your Interns to Download Our Malware" will cover how we use Artificial Intelligence, perform OSINT and Socially Engineer targets to successfully compromise fortune 500 companies. Anonymized war stories from actual engagements will be included.
Speaker Bio : Adin Drabkin
Adin Drabkin is an Offensive Security Consultant at Mandiant (Google Cloud) with a focus in Social Engineering, External Attack Surface, Windows Active Directory, and AWS. Adin's educational background includes cybersecurity Bachelor's and Master's degrees from RIT and NYU, along with industry certifications such as OSCP+ and CRTO.
講演概要：
「2025年のヴィッシング - インターン生にマルウェアをダウンロードさせる方法」では、人工知能（AI）の活用、OSINT（情報処理インテリジェンス）、ソーシャルエンジニアリングを駆使してフォーチュン500企業への侵入を成功させる方法を紹介します。実際の攻撃から得られた匿名の戦績も紹介します。
講演者紹介：エイディン・ドラブキン
エイディン・ドラブキンは、Mandiant（Google Cloud）の攻撃的セキュリティコンサルタントであり、ソーシャルエンジニアリング、外部攻撃面、Windows Active Directory、AWSを専門としています。RITとNYUでサイバーセキュリティの学士号と修士号を取得し、OSCP+やCRTOなどの業界認定資格も取得しています。
Abstract :
This talk reveals two zero-day flaws in Acer's smart prayer beads: one allows account hijacking via broken app authentication; the other enables zero-click remote firmware overwrites. We show how even spiritual IoT devices can pose real security risks, and highlight key lessons for building safer, more secure connected products.
Speaker Bio : Zhao Min Chen
Zhao Min Chen (asef18766) is currently a cybersecurity researcher at CyCraft Technology, specializing in malware analysis, vehicle security and automated program analysis. He presented an academic poster at USENIX Security 2024 and has also delivered talks at events such as Blackhat USA 2025. In addition, he is an active CTF player, participating in teams such as Balsn, TWN48, and w33d for numerous CTF competitions.
Speaker Bio : Jimmy Liu
Jimmy Liu (DrmnsamoLiu) is a cybersecurity researcher at CyCraft Inc and enthusiast on IoT and embedded device security, with a love of learning and sharing knowledge.
He holds a secret altar of PCBs and electronics parts, and the magic smoke that he lets go sometimes comes back into his dreams to haunt him.
講演概要：
この講演では、Acerのスマート数珠に潜む2つのゼロデイ脆弱性を明らかにします。1つはアプリ認証の不具合によるアカウント乗っ取りを許し、もう1つはゼロクリックによるリモートファームウェア上書きを許します。スピリチュアルなIoTデバイスでさえ、現実のセキュリティリスクをもたらす可能性があることを示し、より安全で安心なコネクテッド製品を構築するための重要な教訓を紹介します。
講演者紹介：Zhao Min Chen
ジャオ・ミン・チェン（asef18766）は現在、CyCraft Technologyのサイバーセキュリティ研究者として、マルウェア分析、車両セキュリティ、自動プログラム分析を専門としています。USENIX Security 2024で学術ポスターを発表したほか、Blackhat USA 2025などのイベントでも講演を行っています。また、CTFプレイヤーとしても活躍しており、Balsn、TWN48、w33dなどのチームに所属し、数々のCTF大会に出場しています。
講演者紹介 : Jimmy Liu
ジミー・リウ（DrmnsamoLiu）は、CyCraft Inc.のサイバーセキュリティ研究者であり、IoTと組み込みデバイスのセキュリティに情熱を注ぎ、学ぶことと知識を共有することを愛しています。彼はPCBと電子部品でできた秘密の祭壇を持っており、彼が吐き出す魔法の煙が時折夢に現れ、彼を悩ませます。