Chương trình

Giải lao

Giải lao - Uống trà cùng diễn giả

Nghỉ trưa

Nghỉ trưa - Ăn trưa cùng diễn giả

TBA

Đăng ký và Đón khách

Giới thiệu khai mạc Trà Đá Hacking #06

Đục lỗ sản phẩm an toàn bảo mật

Bí mật chưa thể bật mí...

Reversing android with Frida

Exploit old Roundcube's bug

Malicious Documents - Phân tích 'bằng cơm'

Hiện nay, tài liệu chứa mã độc hay còn được gọi với thuật ngữ chung là malicious documents (Mal Doc), được sử dụng thường xuyên hơn như một cách thức để tấn công có chủ đích vào tổ chức hoặc người dùng cuối tại các công ty/tổ chức. Các tài liệu này thường tận dụng các tính năng có sẵn hoặc các lỗ hổng bảo mật trong quá trình xử lý tài liệu của các ứng dụng như Microsoft Office (Word, Excel, PowerPoint) và PDF reader (Adobe Acrobat, Foxit Reader ...). Bài trình bày cung cấp một số kinh nghiệm cá nhân trong quá trình phân tích các mal docs 'bằng cơm'...

A malware analysis case-study: hide and seek game in Windows Compatibility Shims

Microsoft và hệ điều hành Windows của mình đã và đang là hệ điều hành được sử dụng phổ biến nhất, bởi tính dễ dùng và khả năng tương thích với nhiều loại máy tính, cũng như phần mềm khác nhau. Để làm như vậy, họ đã phát triển Application Compatibility Framework (ACF) để giúp hệ thống có khả năng tương thích tốt nhất với các phần mềm cũ. Tuy nhiên, các phần mềm mã độc cũng lợi dụng cơ chế này để có thể ẩn thân. Đến với hội thảo lần này, tôi mong muốn trình bày cách thức mà phần mềm mã độc (malware) đang sử dụng ACF để tồn tại trong hệ thống, cũng như phương pháp để phát hiện. Tôi cũng sẽ demo một malware (do tôi tự xây dựng) sử dụng phương pháp này.

libfuzzer - phương pháp tự kiểm lỗi sản phẩm cho developer

Dynamic Binary Instrumentation

This talk briefly introduces Dynamic Binary Instrumenation (DBI), and its important role in security research & development. We will explain why a new DBI framework is needed, then how to build one. Come to see some exciting demos, and pick up few cool stickers at the same time!

In-memory WMI - Next-gen Fileless Malware and more

Bài trình bày này nói về một kỹ thuật tấn công mới của mã độc, đặc biệt là mã độc tấn công có chủ đích. Kỹ thuật này được tôi phát hiện trong quá trình xử lý sự cố an ninh thông tin thực tế. Kỹ thuật này bao gồm 02 thành phần giúp mã độc ẩn náu an toàn hơn trong môi trường Windows, đặc biệt là khi có sự giám sát, rà soát liên tục: một là cách sử dụng tiên tiến hơn của mã độc dạng fileless; hai là một số cơ chế truyền thông C&C của mã độc...

Some Results in R&D on Endpoint Security

Discuss and Demo some results on endpoint security, covering Deception, Detection, IR, Prevention and Investigation.

Analysing an APT attack, MacOS is the target

Chúng tôi mới phát hiện ra 1 chiến dịch tấn công APT nhắm vào một số các tập đoàn lớn tại Việt Nam. Lần này kẻ tấn công không target vào Windows mà lại là MacOS, hệ điều hành mà lãnh đạo doanh nghiệp đó sử dụng. Đây có thể là 1 xu hướng sẽ gia tăng. Bài trình bày tập trung chủ yếu vào việc phân tích kỹ thuật mã độc gián điệp trên MacOS và một vài thông tin điều tra về nhóm tấn công.

Thảo luận mở

Thảo luận mở về những vấn đề, sự kiện trong lãnh vực An Toàn Thông Tin, đặt câu hỏi cho các diễn giả.
Host: g4mm4

Post Conference and VNSecurity's 20 Year Anniversary Party

Lễ Trao Giải chung kết cuộc thi Meepwn CTF & Kết thúc chương trình

Lunch

Một số kỹ thuật tấn công hệ thống Active Directory

Đối với các công ty, doanh nghiệp, hệ thống AD (Active Directory) là thành phần không thể thiếu, cung cấp các chức năng, dịch vụ trong hoạt động của doanh nghiệp. Đặc biệt là xác thực, quản lý định danh. Đây luôn là mục tiêu đầu tiên phải tấn công và đánh chiếm. Trong thời gian vừa qua, tôi có cơ hội được thực hiện pentest một số hệ thống AD các doanh nghiệp, đơn vị tại VN. Hầu hết các hệ thống này đều rất dễ bị tổn thương và chiếm quyền kiểm soát bằng các kỹ thuật cơ bản và phổ biến. Bài trình bày này giới thiệu lại một số kỹ thuật tôi đã sử dụng trong quá trình tấn công AD và một số vấn đề cần lưu ý mà người pentest có thể gặp phải.

Cross-communication security issues

Topic sẽ cover một số vấn đề bảo mật cơ bản về cross-communication trong ứng dụng web(server-side/client-side); Những lỗi thường gặp, cách phát hiện và khai thác.

Practical [Sub]domain Takeover

Qua sẽ trình bày kinh nghiệm cá nhân cho các anh chị em nghe khi Qua đi quét vôi các subdomains của các hãng lớn. Nhiều trong số đó là các công ty bảo mật nổi tiếng thế giới

When Java Deserialization meets EL Injection

Bài nói dựa trên việc khai thác thực tế các CVE từ cũ đến mới (2013-2015-2018) của thư viện Jboss Richfaces sử dụng trong Java Server Faces. Bài sẽ không đi kỹ vào phân tích lỗi mà xoáy sâu vào việc khai thác thực tiễn lỗ hổng EL injection trong Java nói chung và khi đi cùng Deserialization nói riêng. Cụ thể, xoay quanh nguyên lý hoạt động của Java deserialize, Java EL, môi trường JSF và một số trường hợp rào cản thực tế đã gặp được khi khai thác cùng cách bypass. Tác giả đã khai thác các bug này để RCE một số trang lớn như của bankofamerica, blackberry, ebanking một ngân hàng Việt Nam, một số sản phẩm của comodo, forcepoint và kiếm được (tạm thời) $5k.

Am I Under Attack?

Bài tham luận của tôi sẽ trình bày các vấn đề xung quanh threat hunting với các nội dung chính sau: Giới thiệu về threat hunting, các khó khăn gặp phải, phân tích nguyên nhân thất bại trong việc phản hồi khi sự cố xảy ra. Đưa ra phương pháp tiếp cận theo hướng chủ động để phản hồi sự cố. Sử dụng góc nhìn của kẻ xâm nhập kết hợp với các kỹ thuật forensics để trình bày phương pháp phát hiện sớm các hoạt động bất thường và săn tìm các mối đe dọa bên trong hệ thống công nghệ thông tin. Thực hành tìm kiếm các activity, các dấu hiệu hiện diện của kẻ tấn công thông qua việc phân tích dữ liệu của Registry, Memory, Network traffic, Log files...

Smart Contract Security

tba

Dynamic analysis for Ethereum smart contracts

By introducing the concept of storing & executing program on blockchain, smart contract becomes vital for the Fintech revolution. Unfortunately, like legacy code, smart contract can be ridden with vulnerabilities, that may cause immediate negative impact in term of economy. This talk presents some of our latest works that aim to lay foundation for dynamic analysis on Ethereum blockchain, so you can build new security tools for this platform.

Chọc Lỗ Lên Đỉnh

Tác giả sẽ trình bày về những kinh nghiệm của mình trong việc tìm lỗ nói chung cụ thể hơn là trong project mruby được sử dụng bởi shopify.

How old man build a Mal-Lab for basic Static & Dynamic Analysis

Trong quá trình làm việc và tham gia đào tạo, tôi có cơ hội được tiếp xúc với khá nhiều bạn trẻ. Một trong những câu hỏi tôi hay gặp là: 'Làm thế nào để xây dựng môi trường lab phục vụ cho việc học RE và phân tích malware?'. Bình thường tôi hay trả lời là: 'Hỏi cụ Google đi em, nhiều lám!'. Nhân trà đá hacking #7 và cũng vì được tin một người anh già với câu nói bất hủ: 'Tôi thấy công cụ này chưa ổn nên tôi tự viết cái khác' cũng đã gửi bài, nên tôi cũng mạnh dạn 'bóp cò' ... Topic của tôi nhằm cung cấp cho những bạn mới bắt đầu cái nhìn tổng quan về việc xây dựng một môi trường lab an toàn thông qua các hệ thống/công cụ có sẵn để phục vụ cho nhiều mục đích như công việc hàng ngày, học tập & nghiên cứu; Dựa trên môi trường lab xây dựng được, tôi sẽ trình bày các kiến thức cơ bản liên quan đến việc phân tích malware, thuật ngữ chuyên môn được các chuyên gia trên thế giới hay gọi là Basic Static & Dynamic Analysis. Basic Static có nghĩa là phân tích malware mà không cần thực thi, không cần đọc code, còn Basic Dynamic có nghĩa là thực thi malware trong môi trường đã cách ly và từ đó phân tích hành vi của chúng. Bài trình bày của tôi nói ra thì ai cũng biết, có chăng chỉ là không có bạn nào chịu cầm mic mà thôi...

Thảo luận mở

Thảo luận mở về những vấn đề, sự kiện trong lãnh vực An Toàn Thông Tin, đặt câu hỏi cho các diễn giả.
Host: g4mm4

Giới thiệu Trà Đá Hacking7 & Diễn Văn Khai Mạc

Tìm lỗi VirtualBox bằng code review

Bài nói trình bày về 1 hướng tiếp cận bằng phương pháp code review để tìm lỗ hổng trong VirtualBox. Từ việc quan sát bản vá cho đến xác định attack surface, xây dựng proof-of-concept và cuối cùng là dựng 1 testcase generator cơ bản để tìm tất cả các lỗi có pattern tương tự

On-demand emulation

Imagine that at run-time, you can dynamically switch native code execution with emulation (back and forth, at will). This would open up exciting opportunities for many advanced applications of binary analysis. Come to see how we solved many technical challenges to achieve this magic.

Static binary injection for MacOS

Static binary injection is a technique to physically modify & patch executable file, so it can execute extra injected code at runtime. The technique has important impact on cybersecurity. From an attacker's perspective, this is helpful to build persistent infection. From the point of defense, this plays a crucial part in performing instrumentation for binary analysis. This talk introduces our approach to inject high level code (built from C/C++, not just simple shellcode) for MacOS. We will will present all the technical issues we had to deal with, including understanding MachO file formats, how to expand the original binary to accommodate new code, how our simplified static linker leverage the dyld dynamic linker to do heavy lifting job for us. This presentation will be concluded with some live demo.

Bú Fame cho vui và cái kết

Một cty bảo mật mới startup cần lấy số nên đã liên hệ thuê tôi. Với tính cách thích cà khịa các hãng lớn, đặc biệt cực thích mỉa mai các tên tuổi làm về bảo mật, tôi đã vui vẻ nhận lời. Bài nói sẽ trình bày một vài kỹ/chiến thuật cần thiết khi các bạn muốn bôi đen tên mình lên Hall of Fame của họ

Trải lòng - Nghề Malware Analysis

Theo dõi mấy buổi live stream của CyberJutsu Gang, tôi thấy vẫn còn nhiều bạn lăn tăn về con đường và nghề phân tích mã độc. Nhân [TràĐáHacking:::Hồi Thứ 8], tôi sẽ dành dăm chục phút trải lòng với các bạn.... Bài trình bày của tôi nói ra thì ai cũng biết, có chăng chỉ vẫn là không có bạn nào chịu cầm mic mà thôi...

Phát hiện hành vi bất thường trong Ethereum smart contract

Smart contract của Ethereum có khả năng lưu trữ tiền mã hoá và vận hành như một chương trình máy tính. Vì thế, các smart contract này đã trở thành mục tiêu tấn công trong nhiều năm qua. Bài trình bày sẽ giới thiệu về ABBE, một công cụ ra đời nhằm phát hiện các tấn công trên Ethereum smart contract. Trong phần demo sẽ tái hiện lại các tấn công nổi tiếng trong lịch sử và khả năng phát hiện của ABBE.

Giới thiệu Electron và debug một ứng dụng electron

Bài nói gồm 2 phần:
-Phần 1: Giới thiệu về platform electron, cấu trúc chương trình,..
- Phần 2: Demo về debug, tìm kiếm lỗi, lỗ hổng của electron

JiuWei: a Cross Platform and Multi Architecture Shellcode Executor

Functioning as the first-stage in an exploitation, shellcode play an important role in successfully triggering software vulnerability. Since this part of payload is written in low-level machine code, understanding how it works is not trivial for analysis. This presentation introduces JiuWei, a cross-platform and multi architecture machine code analyzer. Based on Unicorn emulator (http://unicorn-engine.org), our tool is able to execute & analyze all kind of shellcodes, regardless of Operating System (Windows, Mac, Linux, Android, etc) or CPU architectures (Intel, Arm, Aarch64, Mips). Thanks to a powerful instrumentation engine, the output report can show what the shellcode does inside, in a friendly high-level output format. In this talk, we will give a brief introduction on the design & implementation of JiuWei, some technical challenges we had to solve, and some cool live demo on modern shellcode.

Static Binary Instrumentation và WinAFL: Cặp đôi vàng trong làng tìm lỗ hổng

Giới thiệu công cụ Static Binary Instrumentation (SBI) và ứng dụng của kĩ thuật này trong việc tìm lỗi trên các phần mềm closed source của nền tảng Microsoft Windows. Công cụ SBI cho phép thực hiện instrument một đoạn chương trình bất kì trong file thực thi để có thể đánh dấu quá trình thực thi của một tiến trình. Bài nói cũng trình bày kinh nghiệm khi fuzzing trên hệ điều hành Microsoft Windows bằng WinAFL. Phần kết thúc, bài nói sẽ giới thiệu về các lỗ hổng của Microsoft Jet database được tìm thấy dựa vào phương pháp này.

Semmle - Ứng dụng vào kiểm tra và khai thác lỗi

Semmle là nền tảng phân tích giúp cho các kĩ sư có thể tìm các lỗi bảo mật cũng như săn lùng các biến thể trong các mã nguồn đối tượng. Bài nói này, tôi sẽ giúp sơ lược tóm tắt vài khái niệm, nội dung cơ bản để bạn có thể bắt đầu tìm hiểu nó. Cũng như demo vài ứng dụng Semmle trên các mục đích thực tế.

Làm sao để sống được bằng nghề Bug Hunter?

Chia sẻ những khó khăn, kinh nghiệm trong thời gian chơi bug bounty, từ đó rút ra bài học. Trình bày các lỗi thú vị, các lỗi được bounty cao của bản thân

Cross-Site Search (XS-Search) - The new trend of client-side web attack

Bài trình bày sẽ tập trung vào các khái niệm của kỹ thuật tấn công client-side XS-Search đang là xu hướng hiện nay, các vector tấn công, impact ảnh hưởng đến người dùng. Phần demo sẽ có các real world case study bị ảnh hưởng bởi lỗ hổng này của các công ty lớn ở Việt Nam cũng như các case study đến từ các challenge của các cuộc thi CTF lớn trên thế giới.

How we apply machine learning to detect user behavior ouliers

I gonna give a brief talk about our approach to detect user behavior anomalies. In short, we use topic modeling technologies(currently we implemented LDA), treating every SIEM event and layer 7 content flows as a WORD.

The new chapter of VNSecurity #20years #vnsec

It's the time for a reboot!
This year we celebrate the 20th Anniversary of VNSecurity and we are planning exciting things for the coming months. Stay tuned for more announcements!

Advanced Panda Threat

Giữa năm 2018, tôi bắt đầu làm việc cho một công ty an ninh mạng của Viettel. Sau đó vài tháng tôi có đi thực hiện tác vụ rà soát và xử lý mã độc (chỗ tôi làm gọi là cleanup(), đúng theo nghĩa đen của nó) cho một cơ quan chính phủ, có khá nhiều mẫu mã độc chúng tôi thu được trên hệ thống của họ tại thời điểm đó. Một số dấu hiệu ban đầu cho thấy đây là một tấn công APT (Advanced Persistent Threat). Đến khoảng thời gian khoảng đầu năm nay (2019), tôi quyết định dành một số thời gian để phân tích các mẫu này và xa hơn là đánh giá về nhóm hacker đứng đằng sau tấn công. Bài nói sẽ trình bày nhanh một số thông tin mà tôi đã thu được về nhóm này trong quá trình phân tích. Ngoài ra tôi cũng sẽ chia sẻ một số vấn đề mà tôi gặp phải trong việc xử lý case APT, với tư cách là một newbie - đây là lần đầu tiên tôi tiếp cận và có một cái nhìn rõ hơn về tấn công APT thay vì việc đọc các bài báo/báo cáo đã được publish của nước ngoài hay nghe người khác nói về nó, hi vọng có thể cùng trao đổi với các chuyên gia có mặt tại hội thảo. Dự định ban đầu của tôi là hoàn thiện bản báo cáo (với nhiều thông tin kỹ thuật chi tiết hơn, dưới dạng whitepaper) trước thời điểm diễn ra Trà Đá Hacking #8, tuy nhiên vì một số lý do mà không thể hoàn thành kịp tiến độ. Hi vọng rằng nó có thể được hoàn thành và công bố trong thời gian sớm

A Note on Wordpress Plugin Security

Chia sẻ ngắn về hiện trạng tấn công nhằm vào wordpress plugin, những vấn đề bảo mật còn tồn tại, một vài thử nghiệm tìm bug trong top 1000 plugins.

How to start a CVE farm with GadgetInspector

Giới thiệu về công cụ GadgetInspector (tác giả công cụ: Ian Haken) trong việc hỗ trợ tìm kiếm các lỗ hổng Java Deserialization. Phân tích nhược điểm của công cụ và cách khắc phục, tối ưu. Demo CVE đã tìm thấy bởi công cụ và chia sẽ một số idea tìm kiếm lỗ hổng Java Deserialization dựa theo kinh nghiệm của bản thân speaker.

The Role of Compliance audit, Internal security review and Bug Bounty in Product Security

Một sản phẩm lớn liên quan tới thanh toán điện tử đòi hỏi tuân thủ nghiêm ngặt các điều lệ về an toàn thông tin theo các tiêu chuẩn PCIDSS, ISO27001, SOX .. Tuy nhiên đó chỉ là điều kiện cần, việc liên tục rà soát đánh giá nhằm hạn chế tối đa các lỗ hổng là hết sức quan trọng để kịp thời chặn đứng các rủi ro về bảo mật, cuối cùng duy trì một chương trình trao thưởng cho các nhà nghiên cứu bên ngoài tạo ra góc nhìn đa chiều về những rủi ro tiềm tàng trong hệ thống củng cố thêm một lớp phòng thủ là rất cần thiết nhằm hoàn chỉnh bức tranh tổng quát về an ninh sản phẩm. Trong bài nói này, anh Toàn sẽ chia sẻ về các thuận lợi cũng như hạn chế của từng quá trình và việc kết hợp như thế nào để liên tục nâng cao mức độ an toàn của sản phẩm.

AWS Risk Minimization Methodologies

Các hackers dạo gần đây liên tục nhắm vào các mục tiêu nằm trên Cloud nói chung và AWS nói riêng. Có vẻ người dùng AWS bị ăn hành nhiều nhất vì việc sử dụng public S3, lộ IAM creds,.... Bài talk này sẽ dig deeper vào thói quen sử dụng aws và những cách hạn chế rủi ro khi sử dụng AWS Services

Make the Internet safer and Faster with Post-Quantum Cryptography

1. The threat of quantum-computing.2> The need for post-quantum cryptography.3> Why PQC will appear in IoT. 4> The world need better, and faster Public Cryptography rather than ECC and RSA.5> A look into the future.

Practical Electrical Glitching Attacks

Là bài phân tích và thực hiện tấn công vào phần cứng sử dụng kỹ thuật glitching VCC trên board ESP32 kịch recover key từ các bản ghi thu thập được thông qua glitching IC. Kỹ thuật sử dụng nguồn cung cấp kéo VCC xuống GND trong khoảng thời gian nanos làm cho IC hoạt động sai dẫn tới các kịch bản của người tấn công. Ứng dụng kỹ thuật Glitching VCC vào: + Bypass cơ chế bảo vệ debug hardware như JTAG, SWD+ Bypass cơ chế bootsecure.+ Bypass cơ chế bảo vệ One Time Programmable memory (eFuse) extract key

Chơi game quá gà thì làm gì?

Bài trình bay ngắn gọn, xuôi tai, xúc tích về quá trình học hack game đế chế 2 DE của một người chơi game quá gà.

Demigod: Emulating Kernel Rootkits

Kernel rootkit is considered the most dangerous malware that may infect computers. Operating at ring 0, the highest privilege level in the system, this super malware has unrestricted power to control the whole machine, thus can defeat all the defensive & monitoring mechanisms. Unfortunately, dynamic analysis solutions for kernel rootkits are severely lacking; indeed, most existing dynamic tools are just built for userspace code (ring 3), but not for Operating System (OS) level. This limitation forces security researchers to turn to static analysis, which however proved to be very tricky & time consuming.This research proposes a novel approach to deal with kernel rootkits. We introduce Demigod, a framework to emulate OS environments, so kernel rootkits can be run in software emulators, all in ring 3. From this sandbox, we can safely monitor, trace, debug or perform all kinds of dynamic analysis with this advanced malware.Emulating complicated OS such as Windows, MacOS & Linux is a challenging task. We will present all the technical issues we had to deal with, including how we built our own loader and dynamic linker, how to emulate the OS environment, essential kernel components and system APIs to allow rootkits to work.Designed & implemented as a cross-platform-architecture engine, Demigod can emulate Windows, MacOS & Linux on X86/Arm/Aarch64/Mips. On top of our framework, we built some advanced tools to analyze kernel rootkits, including some automated solutions, providing the malware analyst new weapons to ease their labor work.Demigod is based on Qiling.io emulator.

Sử dụng LLVM Clang để phân tích source code

Gần đây do yêu cầu công việc/học tập, mình có học, sử dụng Clang và phát hiện một số tool, công cụ hay ho để phân tích tĩnh mã nguồn của thư viện họ C/C++ (source code static analysis): ccc-analyzer, scan-build,... hay tự viết 1 checker. Việc phân tích những đặc trưng của mã nguồn có thể giúp ích nhiều trong việc tìm những hàm mục tiêu có chứa lỗi. Bài chia sẻ ngắn với hi vọng mang lại thông tin hữu ích cho cộng đồng.

Keynote & Kết Thúc Chương Trình

Keynote & Kết Thúc Chương Trình

Khai mạc #Virtual TràĐáHacking