leHACK 2025

• Keynote d'ouverture (10 h) portant le thème de l'édition, connue uniquement par le programme : aucune vidéo publiée, aucun compte-rendu lu.
• Le manifeste de l'édition donne le ton : AGI annoncée « d'ici fin 2025 », effondrement des modèles entraînés sur des données synthétiques, risque d'une « obsolescence humaine acquise » si personne ne sait plus faire les choses soi-même. Réponse revendiquée : « Are we doomers? Yes and no. We are hackers. »

• Retour de pentest : une injection HTML dans une fonction de génération de PDF, trouvée sur deux applications, mène à une SSRF, à l'accès à des fichiers internes et jusqu'à la compromission d'un compte cloud (programme).
• Ce qu'en retient Ippon : le langage interne du PDF permet d'exécuter des programmes arbitraires, d'où la leçon de ne jamais faire aveuglément confiance aux composants tiers.
• Message du talk : une vulnérabilité d'apparence mineure peut avoir des conséquences catastrophiques ; importance des pratiques de développement sûres et des configurations cloud robustes.

• Seul talk de la piste principale centré sur l'IA générative : une technique d'exfiltration de données de systèmes RAG par injection de prompt, après une plongée dans leur architecture (embeddings, bases vectorielles, anatomie des prompts).
• Ippon le rattache à des travaux de recherche menés à Harvard et retient les défenses : curation de la base de connaissances, durcissement des prompts, limitation de débit, assainissement des données avant indexation.
• Public visé : red teamers, chasseurs de bugs, développeurs et RSSI (programme).

• Le « cache smuggling » : utiliser le cache du navigateur comme nouveau canal de livraison de charges en red team, alors que les pièces jointes par mail sont de plus en plus surveillées.
• Les deux comptes-rendus retiennent le principe : déguiser un fichier en ressource anodine mise en cache, puis profiter du chargement de bibliothèques par un logiciel de confiance.
• Limites relevées par Wavestone et Ippon : détection par les EDR, besoin d'une action de l'utilisateur et d'ingénierie sociale (pas de compromission en zéro clic).
• Le talk aborde aussi la reconnaissance silencieuse de réseaux internes et les moyens de s'en protéger (programme).

• Introduction à l'informatique quantique du point de vue d'un « hacker classique » plutôt que d'un chercheur spécialisé : qubits, superposition, intrication, portes quantiques, premiers pas en Q#.
• Enjeux de sécurité : cryptographie post-quantique, distribution quantique de clés, et ce que la menace quantique change (ou non) aujourd'hui pour les standards de chiffrement.
• Résumé fondé sur le seul programme.

• Quand les ports de debug (JTAG, SWD) d'un microcontrôleur sont verrouillés, implanter un débogueur dans le firmware lui-même, le plus léger possible, avec un serveur intermédiaire pour GDB (programme).
• Ippon retient la démonstration sur ARM Cortex-M3 (manipulation des interruptions, injection de code en RAM) et sa limite : elle exige une compréhension fine de l'architecture et échoue sur les équipements correctement protégés par la signature de code obligatoire.

• Un « Hall of Shame » des pires erreurs Active Directory croisées en pentest : droits de réplication accordés trop largement, politiques de mots de passe contre-productives, identifiants en clair dans les descriptions ou les GPO, vieux protocoles toujours actifs, comptes de service surprivilégiés, délégations et certificats mal configurés.
• Démonstration d'un passage d'un simple accès réseau à administrateur de domaine, et bonus d'intrusion physique en 10 minutes.
• Objectif affiché : donner aux défenseurs l'envie de corriger ces erreurs immédiatement. Résumé fondé sur le programme.

• Étude de la sécurité de VRRP, protocole de redondance de routeurs, à travers Keepalived : authentification contournable en v2, supprimée en v3.
• Le speaker présente une faille de conception du protocole lui-même découverte avec les mainteneurs de Keepalived, qui a donné lieu à l'erratum 8298 validé par l'IETF (programme).
• Point de débat : l'expert réseau d'Ippon conteste la portée de l'attaque, inapplicable selon lui dans une infrastructure correctement segmentée où les protocoles de contrôle sont séparés du trafic utilisateur.

• Talk de réponse à incident sur Linux, construit sur un cas réel (anonymisé) chez un petit distributeur de cosmétiques : contrôle d'accès défaillant sur une application web, dépôt de fichier non filtré, puis persistance et tentative d'exfiltration.
• « Logs are a girl's best friend » : journaux réseau, applicatifs, bases de données et endpoints racontent l'histoire ; quand l'EDR tombe, le SIEM, la détection réseau, la deception et des outils comme Velociraptor ou osquery prennent le relais.
• Pourquoi viser les marques de beauté : beaucoup de données personnelles, programmes de fidélité, API exposées, pression réputationnelle à payer les rançons.
• Revue de tout ce qui a échoué (pas de WAF efficace, pas de MFA, identifiants dans des variables d'environnement, pas de filtrage sortant) et conclusion : auditer ses logs, établir une baseline, ne pas dépendre d'un seul outil, tester ses contrôles. « Security is like skin care » : ce n'est pas la perfection, c'est le progrès.

• Talk de clôture de la première journée, présenté par son auteur comme un « cheval de Troie » : quelques démonstrations d'ingénierie sociale servent d'appât à un discours sur la communauté.
• Les démos (appels au support, objets du quotidien détournés) servent à montrer qu'on peut être hacker sans être un virtuose du code, et à célébrer les victoires du client : un technicien qui a tenu 40 minutes sans enfreindre la politique de sécurité.
• Message central : « There are no rock stars in this industry » ; ne pas mettre les speakers sur un piédestal, chacun pourrait monter sur scène, arrêter de s'autocensurer.
• Partie militante : privilèges dans la communauté, sécurité des femmes en conférence, rôle d'allié (écouter, puis amplifier), toxicité en ligne. Il cède 10 minutes de son créneau à Vic Harkness (BSides Basingstoke), qui témoigne de son bénévolat en Ukraine.
• Fil rouge : Mr Rogers comme modèle de hacker, quelqu'un qui voit un problème et le répare.

• CTF OSINT de 4 heures en présentiel, consacré à la recherche de personnes disparues réelles (programme).
• L'équipe Ippon s'est concentrée sur un cas, a combiné réseaux sociaux, Google dorking et assistance d'un LLM, et s'est classée 6e ; elle regrette le manque d'outils OSINT spécialisés pour aller plus loin.

• Tour d'horizon des travaux récents sur COM/DCOM, interface Windows vieille de plus de 20 ans et vecteur polyvalent (mouvement latéral, élévation de privilèges, persistance), avec un cadre de test présenté pour les chercheurs (programme).
• Wavestone retient l'ampleur de la surface : « plus de 30 000 interfaces » sur un seul poste Windows 11, et le fait que certaines attaques ne sont pas considérées par Microsoft comme franchissant une frontière de sécurité.
• Défenses : signature des protocoles, désactivation de NTLM, EDR et IPS ; COM ne pouvant être bloqué entièrement, les contrôles compensatoires deviennent nécessaires.

• Un botnet de microcontrôleurs ESP32 bon marché reliés en GPRS à un serveur de commande maison, firmware et C2 développés par les speakers : surveillance, écoute, triangulation de signaux Bluetooth.
• Message du talk : pourquoi il ne faut pas trop faire confiance à son ESP32. Résumé fondé sur le programme.

• Le pentest de client lourd par le jeu vidéo : développer un petit cheat repose sur les mêmes principes que cracker un logiciel industriel.
• Tour d'horizon des méthodes (édition mémoire avec Cheat Engine, patch d'instructions) puis des protections de binaires et de leurs limites. Le hacking de jeux figurait aussi parmi les catégories du wargame, où Ippon dit avoir utilisé Cheat Engine.
• Résumé fondé sur le programme.

• Bilan de cinq ans de programmes de récompense de vulnérabilités (VRP) de fabricants de puces et smartphones (MediaTek, HiSilicon, Samsung, UNISOC) : choisir sa surface d'attaque, savoir quand abandonner, lire les règles de périmètre et de sévérité.
• Leçons tirées de soumissions passées : ne pas supposer un délai de divulgation de 90 jours (une divulgation imposée une semaine après leur conférence), des bugs logiques d'hyperviseur refusés car hors barème, une sévérité réévaluée après discussion.
• Fuzzing émulé de la pile VoLTE : plus de 20 000 crashs, 11 rapports.
• Q&A sur l'extraction de firmware ; applaudissements.

Sur scène (transcript)

• Démontage d'une montre connectée à 12 € vendue par GiFi : authentification Bluetooth cassée (même clé partout), adresses non randomisées qui permettent le traçage.
• Extraction du firmware sans programmateur, en interceptant le bus de l'écran avec un Raspberry Pi Pico, puis écriture d'un module Ghidra pour l'architecture du SoC JieLi.
• La révélation : fréquence cardiaque, tension et SpO2 sont générées aléatoirement (une chaîne « HR fake » dans le firmware, valeurs bornées).

Retours : Ippon cite ce démontage parmi ses talks marquants et retient les fausses mesures de santé. Sur scène, talk très applaudi, duo en autodérision, questions sur le coût réel du reverse et la comparaison avec les montres haut de gamme.

• Thèse : une porte dérobée n'a pas besoin de malware ; elle peut se construire à partir de primitives (lire, écrire, exécuter, livrer, déclencher) et de fonctionnalités légitimes du système, pour réduire la surface de détection face aux EDR et aux règles YARA ou Sigma.
• Exemples côté Windows (zones DNS de confiance) et Linux (fichiers de configuration, sources de paquets, sous-domaines oubliés), et études de cas publiques : XZ, SolarWinds, Lapsus$, Bybit.
• Ton humoristique, démos capricieuses (« la démo après la conf »), échanges avec l'organisation sur le temps restant.

Sur scène (transcript)

• Rappel du fonctionnement des GPO (ordre d'application, stockage, héritage, filtres WMI, ciblage) et de tout ce qu'elles révèlent : groupes d'administration, privilèges, durcissements, EDR installés.
• Démonstration d'un faux positif de BloodHound (un blocage d'héritage ignoré), qui motive GPOParser : outil en ligne ou hors ligne qui recrée des liens exploitables dans BloodHound.
• Partie défensive : surveiller les requêtes LDAP anormales et les accès refusés sur SYSVOL, poser des leurres.

Retours : Wavestone retient un outil open source qui analyse ce que font les politiques plutôt que leurs seules ACL, utile aux défenseurs comme aux red teamers. Sur scène, questions d'un public visiblement connaisseur.

Sur scène (transcript)

• Les APT étatiques visent les infrastructures liées au climat (chauffage, eau, énergie). Cas FrostyGoop (Ukraine, janvier 2024) : un malware de moins de 200 lignes via Modbus, plus de 30 000 personnes privées de chauffage.
• Modbus, protocole des années 1970 sans authentification ni chiffrement, reste massivement exposé sur Internet. Historique : Stuxnet, Industroyer, Triton, Pipedream.
• Appel à une threat intelligence qui croise météo, géopolitique et systèmes industriels ; la COP30 de Belém présentée comme une cible probable.

Retours : Wavestone retient des chiffres (hausse de 340 % des activités malveillantes contre ces infrastructures entre 2022 et 2025, 89 % d'attaques à impact physique) et le manque d'inventaire et de cartographie des infrastructures critiques. Salle chaleureuse, talk en anglais ponctué d'autodérision.

• Récit de six mois de travail pour réimplémenter en Python DCShadow, technique de persistance Active Directory publiée en 2018 et jusque-là disponible seulement dans Mimikatz, mené avec un chercheur italien.
• Les obstacles : fonctions absentes des bibliothèques Python, environ 1 000 lignes de structures réimplémentées à la main (applaudies), et un calcul d'intégrité où l'implémentation de Microsoft s'écarte des RFC, résolu par reverse engineering.
• Résultat : un outil fonctionnel, démontré sur un lab, première brique d'un futur cadre de persistance AD.
• Ton autodérisoire, piques envers les grandes conférences qui avaient refusé le sujet, remerciements à leHACK (sa 4e participation), conclusion sur l'équilibre vie perso et vie pro.

• Dernier talk de la piste principale : l'intrusion physique se joue surtout dans la préparation, du plus loin au plus près de la cible.
• OSINT (plans de sécurité incendie, badges, prestataires), analyse radio, puis reverse engineering low-tech et high-tech des serrures : endoscopes, scanner 3D industriel (environ 20 000 €), rayons X.
• Q&A sur l'absence d'équivalent des CVE pour les serrures (renvoi aux certifications A2P), la sécurité des badges et les limites des outils grand public.
• Démos tournées la veille avec l'équipe ; remerciements à la Red Team Alliance, présente sur le salon avec un atelier de crochetage.

• 10 heures de compétition de nuit (samedi 20 h à dimanche 6 h) : web, reverse engineering, exploitation de binaires, cryptographie, forensic, hardware, hacking de jeux vidéo.
• Classements rapportés : l'équipe nantaise d'Ippon 35e sur environ 250 équipes (70e l'année précédente) ; YoloSw4g de Wavestone 6e sur 120 équipes ; l'équipe EternalBlue, avec des étudiants de La Plateforme, 2e après avoir mené la première moitié. Les chiffres de participation divergent selon les sources.
• Ingrédients cités : un mois d'entraînement sur Root-Me, stratégie collective, cohésion (« cette équipe bienveillante nous a permis de try-harder ensemble », La Plateforme) ; Ghidra et Cheat Engine utiles (Ippon).

• Challenge en ligne et sur place : une seule charge utile pour exploiter 13 vulnérabilités web ; Paul Van-Elsue se classe 10e sur 255.
• Bug bounty live sur une cible révélée sur place : son équipe trouve un contrôle d'accès défaillant exposant des données clients, récompensé 400 €, son premier bounty.
• Il retient l'esprit collaboratif et un événement qui tourne « de 9 h à 3 h du matin » : « Cybersecurity isn't just for experts: it's for the curious. »

• Session de prises de parole libres de 5 à 10 minutes, sans inscription, sans enregistrement, anonymes si besoin, sous le principe de « déni plausible » (ZATAZ).
• Devise rapportée : « Ce qui se dit en rumps… reste en rumps ». Aucun contenu public, par construction.