SAS-2026: первый в мире киберпанковский сквот хакеров в 5*-отеле.

Отгрохотала и закончилась наша ежегодная конференция экспертов по кибербезпасности Security Analyst Summit, она же SAS-2026. Было весело, задорно, на этот раз с разрывающим шаблоны дизайном:

Регистрация участников:

По традиции первый день соревнования CTF-соревнования команд экспертов по кибербезу, где им нужно выполнить непростые специальные задания — как хакерские (найти, взломать, проникнуть и обнаружить что там спрятано), так и наоборот — защититься от вражеской атаки.

Мероприятие масштабное — суммарно в двух отборах на финал участвовало несколько тысяч команд. В финал SAS CTF-2026 прошли 14 команд из Италии, Японии, Колумбии, Южной Кореи, Арабских Эмиратов, Сингапура, Китая, Казахстана и России.

Соревнования длились 8 часов, участникам были предложены 6 сложных сервисов, в которых нужно было найти уязвимости. Поскольку всеобщее использование ИИ-шек при решении подобных задач стало уже устоявшейся традицией, то в этом году мы решили поэкспериментировать и одно задание было размещено в изолированном окружении без интернета и искусственного интеллекта: один игрок от каждой команды должен был найти уязвимости, исправить их и атаковать другие команды пользуясь только своими знаниями. Кстати, этот сервис понравился всем командам больше всего.

Первое место в соревнованиях заняла команда BunkyoWesterns из Японии (о как!), которая приезжает к нам третий раз. Второе место — PwnSec из Эмиратов, а на третьем месте — российская команда CUT из Центрального университета.

Итого. Участникам получилось проэксплуатировать все шесть сервисов, но найти все заложенные уязвимости даже с использованием ИИ им не удалось. Но что-то я заболтался и погряз в деталях, а пора уже и на конференцию:

На SAS-2026 приехало 180 человек из 26 стран. По традиции давайте поудивляемся чемпионам по перелётам. Так вот, в этот раз самый долгий перелет у гостей был из… Аргентины, города Кордобы. Докладчик потратил на дорогу аж 36 часов! Такой же результат показал гость и участник CTF из Сантьяго-де-Чили. Самый короткий перелет (всего 1 час) был у гостя из индонезийского города Сурабайя.

И понеслось! Как рассказывают наши организаторы мероприятия, цитирую: «Security Anarchist Summit в этом году захватил мраморный пятизвездочный отель на Бали и превратил его в панковский сквот хакеров». Видел, ощущал — подтверждаю!

Но пора и конференцию начинать:

В этот раз организаторы-дизайнеры особо расстарались — аж трёхэтажную инсталляцию на сцене соорудили. Опять для открытия конфы на сцену выпустили меня :)

Названия докладов местами немного страшноваты:

«Zero Days to Chaos»,
«Every Ride you Take: Hacking a City Public Transportation»,
«Into the Dark: Anatomy of in-the-Wild iOS Kernel Exploit».

Всего за два дня конференции было аж 20 докладов. Наиболее резонансные уже опубликованы в онлайне: «Приключения бумажного единорога внутри современного склада» (взлом склада через сканер штрих-кодов и не только), «»Операция FlashHole»: Lazarus взламывает защиту и обходит контроль» (новые похождения старых хакеров), «Как группировка APT41 реанимировала буткит BlackLotus» (буткиты никуда не делись!).

И традиционные шоты в конце каждого доклада :)

Ну и все вместе:

И напоследок хочу напомнить: одним из моих основных принципов является «business and fun». Это, наверное, можно перевести как «бизнес и веселье». Поскольку с английским у меня не очень пёрфект, то очевидное добавление «смешать, но не взбалтывать» ( (с) «~~ии-~~агент-007″ ) я перевожу как «shake but not mix» — что можно перевести обратно на русский как «встряхнуть, но не смешивать» :). В этом обратном переводе есть то самое второе дно, которое мне очень и очень нравится :)

Про «бизнес» на SAS-2026 рассказано. А в чём же «фан»? А в том, что каждый вечер мы отжигали! В разных местах, с немного разной активностью, но каждый вечер.

Ну, само собой, иногда место и время работе тоже было и там — например, награждение победителей и уважуха спонсорам конференции. Старые-знакомые лица — спасибо!