تسجيلات المؤتمر متاحة الآن على الإنترنت!

سلّطنا الضوء على بعض المحادثات التي تستحق المشاهدة:

• MSIX’d Up: Weaponizing the Modern Windows App Packaging Ecosystem. توضح المحادثة تجنّب أنظمة EDR باستخدام حزم تطبيقات MSIX لنظام Windows، والحركة الجانبية باستخدام تقنيات WMI وDCOM، والتصعيد إلى صلاحيات SYSTEM عبر ثغرة منطقية في خدمة مثبّت الحزم.

• Prompt Critical: AI-driven Weaponization of a UniFi OS RCE Chain. يوضح الباحث الوصول غير المصادق عليه بصلاحيات root إلى UniFi OS Server، وهو نظام لإدارة معدات الشبكة. ويتيح مفتاح توقيع JWT مسروق استمرار الوصول الإداري بعد الترقيع حتى يتم تدوير المفتاح.

• Breaking the Warehouse: From Bluetooth Devices to Operational Control. يفحص المؤلفون ثلاثة سيناريوهات: تنفيذ أوامر عشوائية على جهاز كمبيوتر عبر ماسح باركود Bluetooth، وتجاوز قيود تشغيل التطبيقات على طرفية Android، والوصول إلى الشبكة عبر طابعة حرارية.

• DevPUBdency Confusion: Weaponizing the Flutter Supply Chain. يُظهر البحث كيفية استخراج أسماء التبعيات الخاصة من ملف APK لتطبيق مبني بإطار عمل Flutter، واستبدال الحزم، وتنفيذ تعليمات برمجية على جهاز المطور أثناء إعداد المشروع.

• PleaseFix: How AI Agent Browsers Are Undoing Decades of Security Engineering. يُظهر المؤلف كيف تستغل حقن المطالبات (prompt injections) في صفحات الويب وفي دعوات التقويم المتصفحات المزودة بوكلاء ذكاء اصطناعي للاستيلاء على الحسابات وسرقة البيانات وتنفيذ تعليمات برمجية على جهاز المستخدم.