Title
Abstract
TBA
Speaker
TBA
Stealth in the Shadows: Dissecting Earth Freybug's Recent Campaign and Operational Techniques
Abstract
In the evolving landscape of cybersecurity threats, Earth Freybug has emerged as a sophisticated adversary targeting organizations across a range of sectors, including notable activity within the Transportation, Manufacturing, and Chemical industries in the Asia-Pacific (APAC) region. This presentation will provide an overview of the group’s recent activities, focusing on their exploitation of critical vulnerabilities. Attendees will gain insights into Earth Freybug's malware arsenal, featuring key strains such as DEATHLOTUS, WINDJAMMER (also known as WINNKIT or the Winnti rootkit), SHADOWGAZE (also known as HIGHNOON), and CUNNINGPIGEON. These malware families contribute to the group's operations by facilitating initial access, enabling data exfiltration, and supporting lateral movement within compromised networks.
The presentation will delve into their sophisticated post-exploitation tactics, which involve employing layered strategies designed to maintain persistence and evade detection. Additionally, attention will be given to Earth Freybug's use of passive backdoor communication techniques, which limit outbound traffic and help maintain a low profile, thereby complicating detection and response efforts. By sharing their operational insights, this session aims to equip security professionals with the knowledge necessary to better detect and defend against this evolving threat landscape, ultimately enhancing their ability to safeguard their organizations from future attacks.
Speaker
Theo Chen
Leon Chang
Title
Abstract
TBA
Speaker
TBA
Behind the scenes of recent DarkPlum operations
Abstract
DarkPlumは北朝鮮に帰属する攻撃グループであり、APT43やKimsukyと呼ばれることもあります。DarkPlumは主に軍事や外交のための諜報活動を行いつつ、また自身の活動資金を稼ぐための金銭目的の攻撃も行っています。基本的には韓国やアメリカの政府やシンクタンクなどを標的としていますが、時折日本に対しても攻撃を行っており、2024年3月頃から継続的に複数回の攻撃が観測されています。
本講演では、まず2024年3月以降に観測された日本に対する攻撃事例について、3つの具体的な事例を紹介します。次に、私たちが日頃行っているリサーチについて、その手法を紹介します。具体的には、VirusTotalやCensysを用いて、DarkPlumの攻撃インフラやマルウェアの情報を収集するクエリを共有します。さらに、私たちは大規模ネットワークの情報を分析し、DarkPlumの攻撃インフラ内の関係性を調査し、彼らのオペレーションの実態を解明しました。この分析が実際の脅威リサーチや防御において、どのように活用することができるのか、実例を示します。
Speaker
Amata Anantaprayoon
小池 倫太郎
Kimsuky Wanna Be Your Social Network Friend
Abstract
This presentation focuses on Kimsuky, a North Korean government-sponsored cyber threat group, and their cyber espionage activities targeting South Korean Navy personnel in June 2024. Kimsuky utilized LinkedIn to profile key individuals in Navy communications and strategic defense sectors. Their main tactic involved social engineering, where they created fake personas based on real individuals with military backgrounds to gain the trust of victims. Initially, Kimsuky delivered spear-phishing messages through LinkedIn, which included Google Drive links leading to EGG files containing malicious JavaScript. In some instances, spear-phishing emails were also used. These malicious scripts were disguised as legitimate forms or inquiry documents, and when downloaded, PE malware was executed. The malware was obfuscated using VMProtect and RC4 encryption to hinder detection and reverse engineering efforts. Kimsuky’s June 2024 campaign targeting Navy personnel parallels their tactics in the 2021 Ministry of Foreign Affairs hack and the 2024 European defense industry attack, suggesting the same threat group was responsible. Kimsuky’s strategic interest in collecting intelligence on South Korean naval defense capabilities aimed to provide North Korea with critical information on maritime strategy and communication systems. Additionally, this presentation sheds light on Kimsuky’s operational security practices, such as using cryptocurrency for infrastructure and registering domains without personal verification, to enhance anonymity and evade detection. By analyzing their June 2024 campaign, this presentation offers valuable insights into Kimsuky’s evolving tactics, which are crucial for strengthening defenses against similar future cyber espionage activities.
Speaker
Hankuk Jo
Sangyoon Yoo
Jeonghee Ha
Follow the Clues: Everyday is lazarus.day
Abstract
The global cyber threat landscape is increasingly complex, with state-sponsored actors, cybercriminals, and hacktivists actively targeting various sectors. Cyber Threat Intelligence (CTI) firms play a vital role in tracking these actors and providing intelligence that security teams rely on to monitor threats. However, simply consuming CTI reports isn’t enough; security professionals must leverage CTI platforms, including open-source intelligence (OSINT), to proactively track and analyze threat actors. This presentation advocates for a proactive approach to threat intelligence, introducing key CTI platforms and strategies for building a comprehensive view of threat activities. A case study on Democratic People's Republic of Korea (DPRK) threat actors will illustrate this approach. Through the lazarus.day website, I’ve aggregated, analyzed, and tagged intelligence on DPRK actors, integrating OSINT for a full-spectrum analysis. This case underscores the value of combining multiple intelligence sources for effective threat tracking. Attendees will gain insights on optimizing CTI use for improved threat detection and response, enabling a strategic and proactive defense against evolving cyber threats.
Speaker
Jeonggak Lyu
APT-C-60: Enhanced targeting capabilities by exploiting region-specific software
Abstract
In early 2024, one of our tracking rules triggered on a malicious Windows library dropped by a spreadsheet file. Our analysis revealed a powerful, single-click, arbitrary, remote code execution exploit for WPS Office being used in the wild to target East-Asian countries.
threat actor behind this campaign, APT-C-60, also known as APT-Q-12, is a South Korea-aligned cyberespionage group active since at least 2018. It mainly focuses on high-profile targets such as governments, trade industries, and think tanks in Asian countries such as China and South Korea. So far, APT-C-60 has been known for using decoy documents as its initial access method but our discovery sheds light on the group’s motives and capabilities towards shifting to exploiting zero-days vulnerabilities.
This presentation describes the full compromise chain starting from our analysis of the weaponized zero-day vulnerability. Then, we go over the different TTPs used by the group to download components and achieve persistence: COM object hijacking, task scheduling, and the use of living-off-the-land techniques. We describe their stealthy fingerprinting technique made possible by abusing web analytics and a cloud-based code repository service to assess the delivery of their custom backdoor to targets they deem the most interesting. Finally, the talk provides information regarding the victimology based on collected information.
Speaker
Romain Dumont
Evolution of Huapi Malware: Growing Focus on Edge Devices
Abstract
Huapi (aka BlackTech) is a China-nexus APT group that has been active for over a decade. In line with their ongoing threat landscape, this presentation offers an in-depth analysis of the evolution of Huapi’s malware, focusing on their increasing emphasis on targeting edge devices. We will examine three specific malware used by Huapi: SSHTD (aka ELF_PLEAD), Mabackdoor (aka Hipid), and Bifrost, detailing their evolution and technical characteristics. The analysis will cover incidents from 2022 to 2024 that targeted Taiwan and Japan. We will discuss the infection chains, such as the exploitation of the F5 vulnerability, as well as the execution flows of the malware. Our analysis will highlight recent updates to the malware, illustrating how these changes reflect Huapi’s evolving tactics, particularly their growing focus on edge devices. Additionally, we will outline Huapi’s C&C communication chain and provide an overview of their C&C infrastructure. Finally, we will conclude with recommended countermeasures and mitigation strategies.
Speaker
Yi-Chin Chuang
Yu-Tung Chang
Game of Emperor: Unveiling Long Term Earth Estries Cyber Intrusions
Abstract
Since 2023, Earth Estries (aka Salt Typhoon, FamousSparrow, GhostEmperor, and UNC2286) has emerged as one of the most aggressive Chinese APT groups, primarily targeting critical industries such as telecommunications and government entities in the United States, the Asia-Pacific region, the Middle East, and South Africa. We will highlight their evolving attack techniques and analyze the motivations behind their operations, providing insights into their long-term targeted attacks. A key finding from our recent investigation is the discovery of a new backdoor, GHOSTSPIDER, identified during attacks on Southeast Asian telecom companies. We will explore the technical details of GHOSTSPIDER, its impact across multiple countries, and interesting findings from tracking its C&C infrastructure. We have also uncovered the group’s use of SNAPPYBEE (aka Deed RAT), another tool shared among Chinese APT groups. Additionally, we believe the threat actor used SoftEther VPN to establish their operational networks, complicating efforts to track their activities. Our analysis suggests that Earth Estries is a well-organized group with a clear division of labor. Based on observations from multiple campaigns, we speculate that attacks targeting different regions and industries are launched by different actors, further highlighting the complexity of the group's operations.
Speaker
Leon Chang
Theo Chen
不正送金に係るフィッシング犯行グループの観測とみずほの対策 -フィッシングサイト・マルウェア「KeepSpy」との戦い-
Abstract
2023年、警察庁が発表したインターネットバンキングに関連する不正送金被害は、発生件数5,578件、被害総額約87億円と過去最多を記録した。2024年も状況は変わらず、金融機関は依然として不正送金の脅威に晒されている状況の中、みずほではフィッシングサイトやマルウェアを日々観測しており、不正送金対策に取り組んでいる。みずほを標的とする複数の犯行グループは、フィッシングサイトのデザインや誘導手段（Eメール、SMSなど）にそれぞれ独自の特徴を持っており、中でもSMSを使ったグループは特に厄介で、多額の不正送金を成功させており、早急な対策が求められている。犯行グループによる銀行等を騙ったSMSの送信には、KeepSpyと呼ばれるAndroid Malwareが使用されており、C2サーバからSMS送信の指令を受けとったKeepSpy感染端末が、第三者へSMSを送信する仕組みである。そのため、不正送金の被害を低減させるためには第三者へのSMS送信を早期に検知し、フィッシングサイトのテイクダウン対応が必要となる。
みずほではSMSを悪用する犯行グループが使用するKeepSpyおよびフィッシングサイトを調査、分析した。その結果を元に、C2サーバからのSMS送信指令を取得するツールおよび、Certstreamによるフィッシングドメイン監視ツールを開発。当ツールを使うことで、検知フィッシングサイトの立ち上げ及び、第三者へのSMS送信を早期検知することを可能とした。
本講演では、不正送金を行う犯行グループの脅威や特徴、みずほにおけるフィッシングサイトテイクダウンの流れについて紹介し、SMSを使った犯行グループのフィッシングサイトの立ち上げ及びSMS送信を早期検知する仕組みについて紹介する。
また、金融機関が今後取り組むべき課題についても考察し、参加者が自社で応用できる実践的な知見を提供する。
Speaker
八子 浩之
竹内 司
遠藤 拓也
Title
Abstract
TBA
Speaker
TBA
Active Monitoring and Response to User Credential Leaks
Abstract
従来のフィッシングでは、攻撃者はターゲットを絞らずフィッシングを行い、個人情報、特に大手サイトの認証情報やクレジットカード情報を盗取してきた。
しかし、昨今、とある業界の事例では、攻撃者の利用するTTPの変化が見受けられた。初期の侵害として、企業担当者へInfoStealer型のマルウェアを送り付け、Stealerで取得した認証情報を利用し、Webサービスに侵入した上で、ユーザにWebサービスを経由したフィッシングを仕掛け、クレジットカード情報を盗むという手法である。
InfoStealerは感染した端末のブラウザに保存される認証情報、入力補完など様々な有益な情報を収集するため、特定のサイト、サービスだけが影響を受けるものではなく、データセットを作られるとあらゆるWebサービスに対する侵入に利用できる。そして、自らこのデータセットを作るアクターもいれば、公開されたデータセットを使ってWebサービスへの侵入から行うアクターも存在する。
従来のリスト型攻撃と異なり、InfoStealerで取得された認証情報を用いて不正アクセスされた場合には高精度な認証情報でアクセスされるため、Webサービス事業者側での検知が非常に難しくなる。検知できたとしても、端末にはマルウェアが存在する可能性もあるため、パスワードリセットによる対策は確実とは言えない。
加えて、こうした脅威やTTPは特定の業界だけにとどまるわけではないと考え、ダークウェブ上やTelegram上でInfoStealerによって漏えいしたデータセットをアクティブにモニタリングし、同じビジネス構造を持つ業界へのStealerのデータセットを使った攻撃の未然防止にも挑戦してきた。本講演では具体的な事例やケーススタディを交えながら、このInfoStealerの感染への取り組みを共有する。
Speaker
猪野 裕司
吉川 允樹
Title
Abstract
TBA
Speaker
TBA
Title
Abstract
TBA
Speaker
TBA
Title
Abstract
TBA
Speaker
TBA
Title
Abstract
TBA
Speaker
TBA
Operation AkaiRyū: MirrorFace invites Europe to EXPO 2025 and revives ANEL backdoor
Abstract
In August 2024, we detected cyberespionage activity carried out by the MirrorFace APT group against a Central European diplomacy institute in relation to EXPO 2025, which will be held in Japan. This is the first time that we have observed MirrorFace targeting an entity based in Europe. The attack followed the same pattern observed throughout 2024. We named the series of the attacks “Operation AkaiRyū”. In our presentation, we go through the whole compromise chain, thoroughly explaining all the stages. Starting with the spearphishing email messages, we describe how MirrorFace managed to trick one of its targets to open the linked malicious file. Next, we explain the process of the ANEL backdoor’s deployment, which MirrorFace has started using as the first-line backdoor. We continue the presentation with a description of the subsequent deployment of HiddenFace and related loaders, alongside other auxiliary tools necessary to fulfill MirrorFace’s objectives. This includes establishing Visual Studio Code remote tunnels to maintain stealthy remote access. Further, we discuss MirrorFace’s operational security improvements introduced in 2024. Finally, we discuss the relationship between the groups APT10 and MirrorFace.
Speaker
Dominik Breitenbacher
Hack The Sandbox: Unveiling the Truth Behind Disappearing Artifacts
Abstract
2023年から2024年にかけて観測されている、標的型攻撃グループ「APT10」（別名：MirrorFace, Earth Kasha）の攻撃キャンペーンにおいて、二次検体として使用されたマルウェア「LilimRAT」と「NOOPDOOR」に Windows サンドボックス内での動作を意図した機能が実装されていました。Windows サンドボックスは、Windows 10 Pro 以降の特定の環境で機能を有効化することで利用可能です。アプリケーションの安全な実行や検証を目的とした一時的な仮想環境として設計、実装されています。サンドボックスを終了するとすべてのデータが消去され、基本的にはホストシステムへの影響はありません。一方で、サンドボックスを制御するためのシンプルな構成ファイルを用いることで、ホストシステムや他のネットワークへのアクセスが可能となるほか、起動時に任意のコマンドを実行する機能なども備えており、操作の容易性と柔軟性が特徴です。一連の攻撃キャンペーンでは、セキュリティ製品による検知回避やフォレンジック調査の妨害を目的として、これらの特性が逆手に取られ、悪用されています。非常に巧妙で危険な新しい攻撃手法であり、今後の標的型攻撃をはじめとするサイバー攻撃において同様の手法が普及し、社会的に大きな脅威となる危険性を懸念しています。本講演では、実際の攻撃事例を基にした Windows サンドボックスの詳細な検証結果と検証から得られた関連アーティファクトおよびブルーチームの視点から監視や調査に資すると判断されるポイントについて解説します。
Speaker
亀川 慧
笹田 修平
丹羽 祐介
Handling Threat Intelligence: Techniques of Consuming and Creating Threat Intelligence
Abstract
高度な攻撃グループが行う攻撃を未然に防ぎ、類似した攻撃を受けないようにするためには、攻撃グループや攻撃手法について様々な情報を収集・分析し、予防・検知に役立てる技術「脅威インテリジェンス」が重要となります。攻撃グループが利用する攻撃手法などを分析し、作成した脅威インテリジェンスを組織内外に共有することにより、早期警戒を促すことも可能です。
一方、攻撃手法の分析といえば、マルウェア解析、脆弱性分析、フォレンジック分析などが思い浮かぶかもしれません。しかし、分析から得られた情報をどのように予防・検知に役立てていくべきでしょうか？本ワークショップでは、マルウェア解析・フォレンジック分析などで判明した情報をもとに、MITRE ATT&CKフレームワークなどを活用し、攻撃グループが利用した攻撃手法を分析し、理解する手法を学びます。また、予防・検知に役立つIOCの作成技法、脅威ハンティングや侵入テストへの応用、Detection Engineeringへの応用、対策手法の検討などについて取り組みます。
本ワークショップでは、脅威インテリジェンスに初めて携わる初任者を対象として、２つの観点から、脅威インテリジェンスを学びます。第一に、脅威インテリジェンスの理論的基礎を紹介し、インテリジェンス定義や種類、インテリジェンスサイクルなど、主要な概念を解説します。第二に、脅威インテリジェンスの生成技法・活用技法に焦点を当てていきます。具体的には、IOC（侵害指標）を生成・適用するTactical Intelligence、攻撃者が悪用する攻撃手法（TTP）をMITRE ATT&CKフレームワークを利用・分析するOperational Intelligenceを学びます。また、得られた知見から、脅威ハンティングやパープルチーミング、Detection Engineeringなど、セキュリティ運用の高度化へ応用する技法についても説明します。
Speaker
石川 朝久
大徳 達也
富山 寛之
Requirements
- インターネットに接続可能なノートPC
Advance Preparation
-
ノートPCでは、以下のツールが使用可能であること。
- 閲覧制限等がないWebブラウザ環境
- 表計算ソフト（Microsoft Excel など）
- SSH接続・RDP接続が可能であること
Skills
- 基本的なLinuxコマンドの操作ができることが望ましい。（Linuxインスタンスで、一部コマンドを実行してもらうため）
IDAとGhidraのプラグインを活用して学ぶ、マルウェアの耐解析機能解析入門
Abstract
マルウェア開発者は、解析を妨ぐために、耐解析機能を実装します。これにより、デバッガ等が検出されると、マルウェアが動作を停止したり、解析者を困惑させるような動作をし、解析を困難にすることがあります。耐解析機能の実装方法は、さまざまで、大規模なメール配信キャンペーンやランサムウェアでは、代表的なものですと、VM検出、ブレークポイント検出、時間差検出などの手法がよく用いられます。本ワークショップでは、自動的に耐解析機能を抽出するプラグイン「AntiDebugSeeker」を活用します。このプラグインは、IDAとGhidraで使用でき、PEファイルのマルウェアに対応しています。GUIを通して、耐解析機能を分かりやすく把握でき、初めて見る耐解析機能についても、説明機能によって、概要を把握し、どう対処していけばいいのか検討する手助けを行います。また、検知ルールを自由にカスタマイズすることができ、耐解析機能だけでなく、ユーザーの好みによって、検知の幅を拡大することも可能です。
https://github.com/LAC-Japan/IDA_Plugin_AntiDebugSeeker
https://github.com/LAC-Japan/Ghidra_AntiDebugSeeker
本ワークショップは、マルウェア解析を始めた方や耐解析機能について学習し始めた方向けに、ツールを紹介し、検体ごとの演習と解説を行います。主に耐解析機能の解決をベースに、それに付随したマルウェア解析の要素も学んでいきます。解説には、IDAとGhidraのそれぞれのユーザ向けに、2種類使います。
Speaker
武田 貴寛
Requirements
- インターネットに接続可能なノートPC
Advance Preparation
-
仮想環境のWindows OSに以下をインストール
- Ghidra 11.0.1 (上記仮想環境内で利用) + Ghidra_AntiDebugSeeker (GhidraにAntiDebugSeekerを拡張させる方法は、GitHubのGhidra Extension How to Setup and Executeのセクションをご確認ください。)
- IDA Pro（普段使用されている方） + IDA_AntiDebugSeeker
- x32dbg
- x64dbg
- ProcessHackerなど動作しているプロセスが分かるもの
Skills
-
最低限必要なスキル
- マルウェア解析をする安全な環境を自身で構築できる 推奨スキル
- Ghidraを使って解析したことがある
- 簡易的な動的解析まではしたことがある
- デバッガーを使う動的解析をしたことがある 事前に読んでおくとよい書籍や講演
- リバースエンジニアリングツールGhidra実践ガイド ～セキュリティコンテスト入門からマルウェア解析まで～
- Workshop: Malware Analysis at Scale ~Defeating EMOTET by Ghidra~
LIGHTNING TALK SESSION
Slot #1
Title: TBA
Speaker: TBA
Slot #2
Title: TBA
Speaker: TBA
Slot #3
Title:
Speaker: TBA
Slot #4
Title:
Speaker: TBA
Slot #5
Title:
Speaker: TBA
Title
Abstract
TBA
Speaker
TBA
Requirements
- TBA
Advance Preparation
- TBA
Skills
- TBA
TBA
TBA
小池 倫太郎
NTT Security Holdings
Rintaro Koike is a security analyst at NTT Security Holdings. He is engaged in threat research and malware analysis. In addition, he is the founder of "nao_sec" and is in charge of threat research. He focuses on APT attacks targeting East Asia and web-based attacks. He has been a speaker at VB, SAS, Botconf, AVAR and others.
Amata Anantaprayoon
NTT Security Holdings
Amata Anantaprayoon is a security analyst at NTT Security Holdings and specializes in real-time threat detection, incident response, detection engineering, and cyber threat research. Amata regularly shares his insights at leading conferences such as Virus Bulletin as well as at closed events as a key member of NTT´s Threat Intelligence research community.
八子 浩之
株式会社みずほフィナンシャルグループ
2017年みずほ銀行に入行。前職セキュリティ会社のコンサルタントを経て、現在に至る。インシデント対応のCSIRTの担当やSOCの運用・企画、脅威インテリジェンスの担当など多岐の業務をこなす。インターネットバンキングの不正送金の対策業務、フィッシング対応も担当。
竹内 司
株式会社みずほフィナンシャルグループ
2014年みずほ銀行に入行。 都内店の営業課、本部の個人向け商品(主にインターネットバンキング)企画・運用部門を経て、現配属に至る。インターネットバンキングに関するセキュリティ全般(企画・運用)や不正送金・マネロン対策業務等を担当したのち、現在はサイバーインシデント(フィッシング対応やセキュリティ対策)対応等を担当。
遠藤 拓也
株式会社みずほフィナンシャルグループ
2020年みずほ銀行に入行。前職ではマルウェアアナリスト、フォレンジックアナリスト、SOC業務のリーダーを経験。現職ではインシデント対応にてログ調査やマルウェア解析を行う傍ら、脅威インテリジェンスを収集するシステムの運用・開発を担当している。
Hankuk Jo
NSHC
Hankuk Jo is a researcher at the Threat Research Lab of NSHC, specializing in cybersecurity and threat intelligence. He is passionate about sharing his insights and primarily focuses on analyzing the tactics, techniques, and procedures (TTPs) employed by cyber attackers, leveraging threat intelligence data.
Sangyoon Yoo
NSHC
Sangyoon Yoo is a seasoned professional in the field of cyber threat intelligence and research, currently working at the Threat Research Lab of NSHC. With a strong background in analyzing and researching various cybersecurity threats, Sangyoon has developed expertise in threat intelligence, game hacking tools, and malware analysis.
Jeonghee Ha
NSHC
Jeonghee Ha is a researcher at the Threat Research Lab of NSHC. Previously, JeongHee worked as an Incident Response Analyst and also has experience in CERT, analyzing threat events and providing first response. Jeonghee is primarily interested in threat data related to cybercrime groups and has a strong interest in digital forensic techniques.
武田 貴寛
株式会社ラック
株式会社ラック サイバー救急センターにて、マルウェア解析に従事するほか、ラックセキュリティアカデミー講師や本などの執筆を行っている。PACSEC、AVAR、HITCON、Virus Bulletin、Black Hat USA Arsenalなどで登壇。
Theo Chen
Trend Micro
Theo Chen is a Senior Threat Researcher at Trend Micro, bringing over five years of comprehensive experience in the cybersecurity domain. His areas of expertise include penetration testing, malware analysis, and threat hunting, with a strong focus on understanding and mitigating advanced cyber threats. Throughout his career, Theo has been involved in multiple initiatives aimed at strengthening organizational security, focusing on detecting advanced threats and designing proactive defense strategies. Currently, He specializes in tracking APT groups, particularly those associated with Chinese-speaking actors. His work involves in-depth analysis of emerging cyber threats and TTPs employed by these sophisticated adversaries.
Leon Chang
Trend Micro
Leon Chang is a Senior Threat Researcher at Trend Micro. His major areas of research include APT campaign tracking, threat intelligence and malware analysis. He has also been a speaker at international conferences, including Black Hat Asia 2022, JSAC 2021/2022, CYBERSEC and AISA, etc.
Jeonggak Lyu
Financial Security Institute
He is the CSIRT Lead at the Financial Security Institute in South Korea, with over two decades of experience in cybersecurity focused on the financial sector. His expertise spans vulnerability assessments, penetration testing, security operations, and incident response, ensuring robust defenses against evolving cyber threats. Beyond his primary role, he actively tracks Democratic People's Republic of Korea (DPRK) state-sponsored threat actors as a personal side project, managing the website lazarus.day and the X (formerly Twitter) account lazarusholic, where he shares in-depth analysis and insights on these cyber adversaries.
Romain Dumont
ESET
Romain Dumont is a malware researcher working for ESET. His work involves deep malware analysis and threat hunting with a current focus on the APAC region. He is passionate about reverse engineering and has previously worked on obfuscation, Windows kernel components, vulnerability assessment, game cheats, and malware from all kinds of platforms.
Yi-Chin Chuang
TeamT5
Yi-Chin Chuang is a threat intelligence researcher at TeamT5. She is passionate about reverse engineering and malware analysis. Her current research focuses on APT threats within the APAC region. She has shared her research findings at Underground Economy, JSAC, CYBERSEC, and TAS.
Yu-Tung Chang
TeamT5
Yu-Tung Chang is a Threat Intelligence Researcher from TeamT5. He is interested in reverse engineering, vulnerability exploiting and malware analysis. He was engaged in network attacks research and rule writing. Currently, his research focuses on cyber threat intelligence in the East Asia region. He has spoken at Code Blue, TAS and JSAC.
亀川 慧
伊藤忠サイバー＆インテリジェンス株式会社
伊藤忠サイバー＆インテリジェンスにてインシデントレスポンスや脅威分析に従事。
笹田 修平
伊藤忠サイバー＆インテリジェンス株式会社
伊藤忠サイバー＆インテリジェンスにてインシデントレスポンスや脅威分析に従事。
丹羽 祐介
伊藤忠サイバー＆インテリジェンス株式会社
伊藤忠サイバー＆インテリジェンスにてインシデントレスポンスや脅威分析に従事。
猪野 裕司
株式会社リクルートテクノロジーズ
2016年より株式会社リクルートテクノロジーズに入社。リクルートCSIRTとして、リクルートにおけるセキュリティ事故対応のチームリードを行う。2021年4月に、サイバー犯罪対策グループを発足、サイバー犯罪対策のためのカード不正やなりすましログインなどを専門とした分析調査を実施。CISSP、GCIH、GCTI、GNFA。
吉川 允樹
株式会社リクルート
株式会社リクルートにて脆弱性診断やペネトレーションテストに従事。現在はリクルートCSIRTとしてセキュリティ事故対応、監視対応、脅威ハンティング等を行う。
Dominik Breitenbacher
ESET
Dominik is a malware researcher at ESET. Coming from academia, he joined ESET in 2019 to help track the activities of APT groups with a particular focus on the China-aligned group MirrorFace. He previously presented at AVAR and also at JSAC 2024. In his spare time, he plays video games and watches bad movies.
石川 朝久
東京海上ホールディングス株式会社
2009年より、セキュリティ専門企業にて、侵入テスト、セキュリティ監査、インシデント対応などに従事。現在は、東京海上ホールディングスにて、セキュリティ戦略立案、セキュリティアーキテクチャ、脅威インテリジェンス分析、インシデント対応などを担当。また、情報処理技術者試験委員・情報処理安全確保支援士試験委員、総務省サイバーセキュリティエキスパート、執筆や技術書翻訳なども行っている。
大徳 達也
東京海上ホールディングス株式会社
警察庁技官として16年間従事し、サイバー犯罪対策やサイバーテロ対策の技術支援を担当。警視庁出向時、国際犯罪組織対策に携わる経験も持つ。その後、セキュリティ専門企業にてインシデントへのフォレンジックやインテリジェンス、政府機関向けトレーニングの企画開発等を担当。2022年からは東京海上ホールディングスにて、セキュリティ運用、インシデント対応、および国内外のグループ会社向けのセキュリティ対策に従事している。
富山 寛之
東京海上ホールディングス株式会社
2009年に大学卒業後、東京海上日動システムズへ入社。2016年からサイバーセキュリティ担当となり、東京海上日動、東京海上あんしん生命のシステムへのセキュリティ対策の導入推進やインシデント対応やポリシー策定などの業務を担当する。2023年から東京海上ホールディングスへ出向し、CSIRT及び国内外のグループ会社向けのセキュリティ施策を担当する。保有資格はOSCP、CISSP、CISA、情報処理安全確保支援士、ITILv3Expert。