Hackén - Agenda

08.00

Auditorio

Acreditaciones

Recepción de público y entidades

Hackén

08.45

Auditorio

Jornada de apertura Hackén 3ª ed. 2025

Inicio de la tercera edición de Hackén en el espacio principal de Caja Rural.

09.30

Auditorio

Sistemas agenticos: ¿Podrá la IA hacer pentesting de calidad?

En el mundo de la ciberseguridad, y en concreto el del pentesting, la eficiencia y ser preciso es clave para identificar los caminos que proporcionen el éxito en los objetivos del test. En esta ponencia se explora la utilidad de los sistemas multi agente con Inteligencia Artificial con el objetivo de mostrar cómo este campo aporta al pentesting. Con el enfoque innovador de la disrupción de los sistemas multi agentes, se presentará un sistema desarrollado (from scratch) que integra pequeños agentes especializados y autónomos, diseñados para realizar tareas de pentesting complejas mientras colaboran de manera orquestada

Pablo González

09.30

Talleres

Explotación de Intents en Android: Cómo el IPC se convierte en una superficie de ataque

Este taller se centrará en explorar implementaciones inseguras del IPC (Inter Process Communication) entre aplicaciones Android. En Android, el IPC se realiza principalmente a través de los Intents, que permiten la interacción entre aplicaciones, ya sea para transferir datos o para iniciar acciones en otra aplicación. Para el taller es muy recomendable traer un portátil con Android Studio instalado junto a su emulador configurado y funcionando. Para los retos tipo CTF se usará una plataforma donde los participantes puedan subir directamente las aplicaciones para probar sus PoC.

Ismael Melchor

10.30

Auditorio

Unfixable Vulnerability: the human being

En esta ponencia se pondrá de manifiesto el eslabón más débil de la ciberseguridad: las personas. Exploraremos técnicas de ingeniería social, OSINT, phishing y vishing, mostrando cómo los atacantes explotan la confianza humana y qué medidas podemos tomar para protegernos de estas amenazas.

Víctor Nieves

Manuel Achaques

11.30

Auditorio

Break

Sin descripción

11.30

Talleres

Break

Sin descripción

12.00

Auditorio

Breaking Active Directory: Techniques & Automation with ADScan-CLI

En esta charla se hablará de ADScan-CLI, una herramienta de automatización para pentesting en entornos AD. Pero más allá de enseñar “una herramienta”, exploraremos el enfoque técnico que permite automatizar de forma segura y controlada cada fase de una auditoría: desde la recolección inicial hasta la escalada a Domain Admin. Se mostrará: Un entorno AD real (GOAD) y lo atacaré en vivo con ADScan-CLI Mostraré cómo automatizar tareas comunes de enumeración, abuso de delegaciones, Kerberoasting, ADCS, etc. Analizaremos las técnicas que hay detrás de cada módulo, explicando lo que ocurre “bajo la herramienta” Esta charla no es solo una demo, es un viaje educativo para entender cómo se puede usar y desarrollar automatización ofensiva en entornos corporativos reales. Perfecta para quienes hacen pentesting en entornos Windows/AD y quieren ahorrar tiempo, mejorar resultados, y entender a fondo lo que hacen sus herramientas.

Yeray Martín Domínguez

12.00

Talleres

Intro to Linux kernel exploit development

Este taller está diseñado para quienes quieran profundizar en la explotación de vulnerabilidades a nivel de kernel y desarrollar sus propios shellcodes en Linux. Exploraremos las diferencias fundamentales entre la explotación en userspace y kernelspace, las protecciones que implementa el sistema para mitigar ataques y las técnicas avanzadas para evadirlas.

Sergio Apellaniz

13.00

Auditorio

Deja de mirar las nubes: Detección de amenazas en el cloud.

Explicación de cómo los malos atacan a las empresas mediante un vector de ataque Cloud, en concreto Azure, y no están preparadas para monitorizar nada. Se mostrarán ataques reales, con detecciones reales.

Joaquín Molina (Kino makino)

14.00

Auditorio

Comida

Sin descripción

14.00

Talleres

Comida

Sin descripción

15.30

Auditorio

Backups problems: from zero to hero with vCenter Backups!

Una pequeña píldora informativa donde enseñaremos un curioso caso que se nos mostró en un pentest, llegando a ser AD Admin desde un backup de vCenter.

Yeray Fernández

Ricardo Sánchez

15.30

Talleres

Detección de amenazas en el cloud.

Joaquín Molina (Kino makino)

16.00

Auditorio

De blog a botnet: evolución natural de un WordPress abandonado

WordPress es el CMS más usado del mundo, y también uno de los blancos más frecuentes para ataques automatizados. En esta charla exploramos por qué WordPress es tan atractivo para los atacantes, cómo opera el malware moderno sin interrumpir el funcionamiento del sitio, y qué técnicas de persistencia se utilizan para monetizarlo en silencio. Veremos casos reales, ejemplos de código malicioso, y buenas prácticas para mitigar riesgos, detectar compromisos y endurecer instalaciones existentes.

Samuel Rocha

16.30

Auditorio

Simulating the Enemy: The Kill Chain

En esta ponencia se expondrá un Kill Chain basado en un link malicioso con evasión de la macro por parte de Microsoft Command and Control persistencia. Además, enseñaremos la utilidad de simular el KillChain de actores de amenazas para detectar posibles intrusiones y así, estar preparados ante ataques reales. El Threat Hunting está evolucionando y con ello el equipo de Purple Team, se explicará el por qué se hacen estos ejercicios y se hará una demostración.

Rafa López

Aitor Herrero

17.30

Auditorio

Break

Sin descripción

17.30

Talleres

Break

Sin descripción

18.00

Talleres

Hacking de APIs: Hackeando REST sin descanso

En este taller nos adentraremos en el mundo del Hacking de APIs, explorando de forma práctica y teórica las principales estrategias y herramientas utilizadas para identificar y explotar vulnerabilidades en APIs. Comenzaremos analizando por qué las APIs se han convertido en uno de los objetivos favoritos de los cibercriminales en la actualidad, y revisaremos en detalle la guía OWASP Top 10 API Security Risks 2023, comprendiendo los errores más comunes que se cometen en el diseño y despliegue de APIs modernas. A lo largo del taller, identificaremos los vectores de ataque más frecuentes, así como las herramientas y técnicas más utilizadas por profesionales del pentesting y bug hunters. Revisaremos reportes reales de programas de Bug Bounty y de divulgación de vulnerabilidades (VDP), analizando el impacto que pueden tener dichas vulnerabilidades entornos de producción. Además, exploraremos cuánto están dispuestas a pagar las empresas por el hallazgo de vulnerabilidades en sus APIs.

Miguel Segovia

18.00

Auditorio

Detrás del Kernel: 0days en Drivers y Virtualización de Windows al descubierto

En la ponencia se hará un repaso por los diferentes mecanismos de seguridad que ha introducido Windows a lo largo de su historia explicando desde los más tradicionales hasta los nuevos como VBS, HVCI, Credential Guard etc. Por otro lado, se comentarán las diversas oportunidades que se tienen en un ejercicio de Red Team para abusar de dicha tecnología. Por último, se comentará en detalle la metodología que seguimos para encontrar 0days en drivers y evadir los productos de seguridad EDR.

Iván Cabrera Fresno

Adrián Díaz Aguilar

19.00

Auditorio

Zero Day Cuántico: ¿Humo o transformación de la criptografía?

La charla pretende abordar PQC y cuales son los puntos clave a tener en cuenta. La propuesta contiene los siguientes puntos: 1. Introducción. Motivación para la ponencia y explicación del concepto Zero Day Cuántico. 2. Estado actual de la criptografía. Una criptografía que envejece mal ( algoritmos actualmente en uso, como lo gestionamos, inventarios, dependencias ocultas, ausencia de gobernanza criptográfica). 3. Breve introducción a los conceptos de la computación cuántica. Bits vs qbits, puertas lógicas para computación cuántica, explicación de como de cerca estamos de la computación cuántica (e.g. Chip Majorama de Microsoft). 4. Riesgos reales, ¿Qué se puede romper? 5. ¿Qué se puede hacer hoy? Identificación, errores comunes, practicas de criptografía, evaluación de algoritmos propuestos por NIST, criptografía híbrida y otros. 6. ¿Cuándo llegará el impacto real? 7. Conclusión y resumen de todo lo abordado.

Miguel Tomás Ruiz