Ekoparty Miami 2026

This session describes a practical reverse engineering workflow developed while analyzing different types of binaries. The talk focuses on combining manual reverse engineering with AI-assisted tools inside an existing workflow. These tools are used to support tasks such as function labeling, identifying runtime structures, and building an initial understanding of binary capabilities, allowing the analyst to spend more time on deeper analysis and validation.The methodology presented is based on hands-on analysis of active threats collected from Palo Alto Networks firewalls and WildFire. The samples include Go-based IoT botnets, OT-centric malware, and Android malware targeting TVs. Our analysis was performed using disassemblers and decompilers (radare2, Ghidra, IDA Pro), extended with AI agents integrated directly into the disassembler environment. The emphasis is on what worked, what did not, and where human analysis remains essential.

ResearchersAsher Davila MX

Exploraremos el ciclo de vida de un ataque real en el cual se explotó el CVE-2025-71257 en un servidor de Ticketing llamado BMC Footprints y se encontraba expuesto a internet, lo cual permitió que atacantes de Sur Corea, USA, Malasia y España cargaran distintas Webshells a la aplicación web para generar persistencia, la ejecución de comandos de sistema operativo y posteriormente, movimientos laterales.

ResearchersAshley Hiram MX

This talk tells the story of how a routine penetration test of one day became a months long solo journey into uncovering six zero day vulnerabilities in a home ONT router used all over the world, but especially across the American continent, including the United States, Canada, Argentina, Mexico, Brazil, and Ecuador.

In 2025, I was hired by an Ecuadorian entity after an ISP detected suspicious activity impacting its own infrastructure, potentially originating from users of these routers. They needed to understand what was happening. What began as a standard assessment quickly went far beyond typical testing. Instead of stopping at network level analysis with a port scan and check vulnerable services, I moved deeper into hardware hacking and firmware reverse engineering. What I found was unexpected. A massively deployed router with no prior CVEs!!!. That absence was not reassuring, it was suspicious. Working completely alone, I faced significant technical challenges, including reversing firmware built on the uncommon ARCompact architecture. Step by step, this led to the discovery of five zero day vulnerabilities.

At that point, I was facing a difficult situation. The vendor initially refused to patch the vulnerabilities, even though there were around 60,000 of these end of life routers still in use just in one of the affected countries and many more deployed worldwide. Given the scale and urgency, I briefly considered turning to the black market as a way to force attention to the issue. However, I ultimately chose responsible disclosure instead (but I discovered a big black market about zero days in routers). What followed was a difficult, months long process with the vendor that eventually resulted in five CVEs and the patch in 2025. To make progress, I had to adopt a more assertive, hacktivist style approach with the vendor after their initial refusal to address the flaws (the timeline is quite emotional!).

In March 2026, after I published the CVEs in my blog, an anonymous hacker contacted me. He had read my work and revealed something unexpected. He was the author of a sixth zero day vulnerability affecting the same routers, one I had previously come across without knowing its origin. What started as an individual effort suddenly connected to a hidden parallel discovery (in total 6 zero days were in the underground/undiscovered for more than 10 years)

In March 20, 2026, I verified the vulnerability and conducted a global reassessment of these routers. The results are quite interesting. These devices are already end of life, yet they are still being used all over the world, with official support extended until 2027/2028. The message: EOL routers are very serious risk!"

ResearchersDanilo Erazo EC

Los agentes de inteligencia artificial representan una evolución significativa respecto a los modelos de lenguaje tradicionales. Mientras que un LLM procesa texto y genera respuestas de forma aislada, un agente posee autonomía para razonar, planificar y ejecutar acciones en el mundo real mediante herramientas externas, APIs y acceso a datos sensibles. Esta capacidad amplificada introduce una superficie de ataque considerablemente mayor y riesgos que van más allá de las vulnerabilidades conocidas en modelos conversacionales. En esta charla exploraremos las diferencias fundamentales entre LLMs y agentes desde una perspectiva de seguridad, analizando por qué la autonomía, la persistencia de memoria y la capacidad de ejecución transforman el panorama de amenazas. Examinaremos los principales vectores de ataque que afectan a sistemas agénticos, incluyendo prompt injection indirecto, envenenamiento de herramientas, exfiltración de datos a través de canales laterales y ataques de confusión de identidad que explotan la cadena de confianza entre componentes. La sesión incluirá una demostración práctica de un ataque contra un agente, ilustrando cómo un adversario puede manipular el comportamiento del sistema para ejecutar acciones no autorizadas. Posteriormente, abordaremos los mecanismos de defensa más efectivos: sandboxing de herramientas, validación de salidas, principio de mínimo privilegio, supervisión humana en el bucle y arquitecturas de confianza cero. Finalmente, discutiremos marcos de gobernanza para el despliegue responsable de agentes, incluyendo políticas de acceso, auditoría de acciones, límites de autonomía y consideraciones regulatorias emergentes. Los asistentes obtendrán una comprensión clara de los riesgos únicos de los sistemas agénticos y estrategias prácticas para mitigarlos en entornos productivos.

ResearchersEmilio Oropeza MX

Encadenaste cinco pasos hasta Domain Admin, dumpeaste NTDS y demostraste acceso a la base de datos de producción. Reporte impecable, CVSS 9.1, kill chain documentada. Tres meses después no se remedió nada, el presupuesto se fue al SIEM nuevo y el board sigue convencido de que el riesgo principal es "phishing a usuarios". Técnicamente impecable, operativamente irrelevante. El problema no es técnico: entre el shell que conseguiste y la decisión del negocio hay tres saltos de traducción que rara vez funcionan, del hallazgo al impacto operacional, del impacto al riesgo de negocio, y del riesgo a una decisión ejecutable. Esta charla es sobre ese gap, contado desde el cruce raro de hacer producto para organizaciones donde se hace seguridad ofensiva y aún así los hallazgos no siempre mueven la aguja: qué herramientas del mundo de producto se pueden importar al oficio sin convertirlo en consultoría. Para pentesters, equipos de VA, red teamers, líderes de seguridad y cualquiera que haya entregado un hallazgo crítico y se haya comido el silencio del otro lado.

ResearchersFabiola Oliveros VE

Demo: While most cyber ranges are focused on attacker agents and limited by rigid abstractions that fail to model the complexity of modern threats, Trident addresses this gap by integrating attacker, defender and benign agents into a Docker-based, hyper-realistic autonomous cyber range. In this session, we shift the spotlight entirely to the Blue Team, exploring how researchers and developers can evaluate novel defender agents and security tools within authentic enterprise networks.

ResearchersDiego Forni AR·Rocío Baggio AR

No abstract was found on the conference website.

ResearchersGabriel Franco AR

"I know kung fu" — downloading skills Matrix-style to power up your bug bounty process

ResearchersJaime Andrés Restrepo CO

Biometrics are perceived as the definitive frontier of identity, but our research reveals a glass perimeter: transparent to the attacker and structurally fragile. Through environment instrumentation, we demonstrate how liveness detection collapses under attacks ranging from the physical lens to Kernel-level hijacking. This is not about isolated bugs, but the failure of a trust model that leaves business logic entirely exposed affecting millions of users and companies.

ResearchersJavier Bernardo AR·Dan Borgogno AR

In this session, we’ll dive into a multi-stage attack campaign that resulted in a major financial fraud in Brazil, where a threat group escalated from rudimentary network intrusions - leveraging compromised home and small business routers - to a highly effective social engineering operation targeting contact center operators. Drawing from firsthand forensic investigations, we’ll walk through the group’s initial tactics, including physical implants and unauthorized access in remote branches, and how these evolved into a sophisticated social engineering vector that ultimately enabled a $15M (USD) fraud. You’ll see how the attackers adapted over time, exploited both technical and human vulnerabilities, and maintained persistence in the environment. This talk will present timeline reconstruction, threat actor behavior, missed detection opportunities, and key lessons learned - offering actionable insights for defenders, red teamers, and incident responders alike.

ResearchersJefferson Macedo BR

No abstract was found on the conference website.

ResearchersJorge Litvin AR

While most cyber ranges are focused on attacker agents and limited by rigid abstractions that fail to model the complexity of modern threats, Trident addresses this gap by integrating attacker, defender and benign agents into a Docker-based, hyper-realistic autonomous cyber range. In this session, we shift the spotlight entirely to the Blue Team, exploring how researchers and developers can evaluate novel defender agents and security tools within authentic enterprise networks.

ResearchersJuan Andrés Loncharich AR·Julián Ignacio Fernández AR

Esta charla busca evidenciar un problema que esta afectando a multiples empresas que implementan reconocimiento facial, dentro de su proceso diario. Ya sea para hacer validacion de integridad, pagos, 2FA, etc.

Se mostrara la tecnica de Spoofing de camara, sumado a una componente de IA para poder modelar/crear input que luego sera utilizado mediante el spoofing de camara.

ResearchersJuan Urbano Stordeur AR

Los borradores cibernéticos son la versión cibernética del napalm, llevando la destrucción del mundo físico al ciberespacio, y han sido las armas más utilizadas en las ciberguerras durante la última década. Estos borradores están diseñados para destruir todo lo que encuentran a su paso: archivos, discos, copias de seguridad, lo que sea. Y son diseñados deliberadamente de esta manera por un grupo especializado con el objetivo de desestabilizar un país entero en tiempos de guerra.

En esta charla, repasaremos la historia de los borradores cibernéticos, desde nuestro descubrimiento de Flame en 2012 hasta nuestra investigación más reciente sobre un borrador cibernético destructivo al que llamamos Lotus Wiper. Analizaremos los detalles técnicos y ofreceremos una visión general del impacto que este tipo de armas cibernéticas tienen en países, empresas y personas de todo el mundo.

ResearchersLisandro Ubiedo AR

No abstract was found on the conference website.

ResearchersLucas Lavarello AR

Harvest Now, Decrypt Later" (HNDL) no es un problema del futuro, es un ataque silencioso y masivo que está ocurriendo en este preciso instante. Agencias estatales y competidores corporativos están interceptando y almacenando exabytes de tráfico cifrado para descifrarlo una vez que la computación cuántica alcance su madurez (el llamado Q-Day).

Esta charla magistral desmitifica la amenaza cuántica y explica con claridad cómo algoritmos matemáticos como el de Shor colapsarán los estándares actuales de seguridad (RSA, ECC).

ResearchersMariano Facundo Scigliano AR

El mayor error estratégico de un líder de ciberseguridad es diseñar arquitecturas para mitigar las amenazas del pasado. Durante décadas, operamos bajo el modelo perimetral tradicional ("Fuerza contra Fuerza"), asumiendo que el tráfico interno era confiable y el externo hostil. Hoy, ese modelo ha colapsado ante La Nueva Ciberguerra No Lineal, un escenario de amenazas asimétricas donde los atacantes han dejado de usar malware tradicional. Ya no traen sus propias armas; usan las nuestras. Mediante tácticas de Living off the Land (LotL), operan en modo sigiloso abusando de herramientas administrativas legítimas para camuflarse en el ruido diario de la infraestructura corporativa.

Esta sesión es un llamado a la toma de conciencia estratégica. A través del análisis de ejemplos reales y patrones de ataque modernos, expondremos cómo esta amenaza invisible ya está vulnerando los enfoques tradicionales. Ante la fricción operativa que impide alcanzar un modelo Zero Trust perfecto, los asistentes comprenderán la urgencia de adoptar medidas estratégicas basadas en la "asunción de brecha" (Assume Breach). Discutiremos cómo evolucionar de la dependencia de controles estáticos hacia la Inteligencia de Comportamiento y la Evaluación Continua de Compromiso (CCA), la única vía para cazar las anomalías que delatan al adversario cuando las firmas y los binarios fallan.

Basada en el artículo "The New Non-linear Cyberwarfare", esta sesión traslada las lecciones críticas de la evolución militar al escenario cibernético moderno. Analizaremos cómo el cambio histórico de la guerra lineal a tácticas asimétricas se ha convertido en la innegable realidad de los ciberataques actuales.

ResearchersMario Lobo CO

Exploraremos vectores de ataque como la manipulación de lógica de negocio y APIs. Además, discutiremos cómo los atacantes combinan errores de configuración, malas prácticas de desarrollo y falta de controles compensatorios para comprometer entornos críticos

ResearchersMiguel Alonso Lopez Abarca PE

This talk provides a practical approach to evaluating LLM and Generative AI vulnerabilities. The presentation will cover how initiatives like OWASP Top10 for LLM and the Gen AI Red Teaming Guide can support standardized AI security assessments and adversarial testing practices.

ResearchersRafael Soares Ferreira BR

The most recent supply chain attacks don't exploit vulnerabilities in code. They exploit the pipeline. Nobody treats it as an attack surface, and that's exactly how Shai-Hulud compromised 14k+ secrets without touching a single application. Through a live demo you'll see the attack from the attacker's perspective and walk away with a practical framework to evaluate and strengthen your own pipelines.

ResearchersRicardo Sánchez Bermúdez PE

¿Qué puede ser más aterrador que una vulnerabilidad de día cero? Una serie de falsos negativos combinados con una falsa sensación de seguridad en un equipo de operaciones de seguridad desprevenido. En esta charla práctica, mostraré cómo un atacante puede interrumpir la recopilación de registros de AWS y evadir la detección dentro del margen de tiempo disponible

ResearchersSantiago Abastante AR

New features are the most fertile ground for bug hunters. In this turbo talk I walk through how an endpoint in the "Unboxing" feature of a major e-commerce platform turned out to be vulnerable to SSRF: the first sniff at the feature, the validation bypass, and the road to the report in the bug bounty program.

ResearchersAdrián Pedrazzoli AR

Static wordlists are a lie we tell ourselves: same wordlists == same bugs. This talk shows why content discovery and fuzzing in real-world bug bounty targets fail when every assessment starts from the same stale inputs. This talk walks through dynamic fuzzing techniques and introduces an open-source tool that builds, mutates and combine wordlists based on the live context of the assessment, tested across bug bounty programs and pentest engagements.

ResearchersAgustin Aguirre AR

Traditional mobile security is based on the assumption that the operating system is a trusted environment. However, within the mobile phone repair ecosystem, automated “one-click” tools that claim to bypass protection mechanisms and conceal Root status from financial applications have become increasingly widespread.

This presentation analyzes how these types of tools can operate as part of hybrid Malware-as-a-Service (MaaS) schemes, combining evasion techniques on mobile devices with the distribution of information-stealing malware targeting the computers used by technicians. Through reverse engineering, dynamic analysis, and C2 infrastructure research, the operational behavior of these threats is exposed, along with their impact on the trust chain of the mobile ecosystem.

ResearchersBruno Fonseca PE

César Gaytán va a estar presentando su primer novela, cypher404. Un mundo con delitos cibernéticos, mucha adrenalina y técnicas de hacking 100% reales.

ResearchersCésar Gaytán MX

Los enfoques actuales de threat modeling en IA fallan porque no reflejan cómo los sistemas basados en LLM se rompen en el mundo real. Esta charla propone un enfoque ofensivo donde el threat modeling se utiliza para diseñar ataques explotables contra agentes, sistemas RAG y arquitecturas con tool calling. Se presentarán técnicas prácticas para transformar modelos de amenazas en vectores reales de explotación, incluyendo prompt injection avanzado, abuso de herramientas y manipulación de contexto. Dirigido a red teamers que quieren dejar de documentar riesgos… y empezar a explotarlos

ResearchersChristian Urcuqui CO

Los modelos de machine learning ya son utilizados para detectar malware y ransomware en entornos reales. Pero ¿qué ocurre cuando el atacante comienza a manipular directamente al modelo? Esta charla presenta cómo técnicas de adversarial machine learning pueden ser utilizadas para evadir sistemas de detección de ransomware y cómo estos mismos ataques permiten diseñar defensas más resilientes. A partir de un caso práctico, se explorará el paso de una perspectiva ofensiva a una estrategia defensiva basada en robustez y seguridad de modelos.

ResearchersChristian Urcuqui CO

Es una charla intensiva y práctica que te recorrera desde los fundamentos hasta la vanguardia de la Cyber Threat Intelligence (CTI). Descubriremos por qué la CTI dejó de ser un “nice-to-have” para convertirse en un imperativo de supervivencia organizacional, tocando piezas clave como el ciclo de inteligencia, los tipos (estratégica, táctica y operacional), las fuentes éticas y efectivas (OSINT, HUMINT, SIGINT y más). Aprenderemos a aplicar frameworks de referencia mundial como MITRE ATT&CK, Cyber Kill Chain y el Diamond Model. Cerraremos con una demo en vivo: “Puedes correr, pero no puedes esconderte”. Ahi mostrare, paso a paso y en tiempo real, cómo desanonimizar servicios y operadores en la Dark Web, demostrando que ni siquiera los rincones más oscuros de internet son 100 % seguros cuando se aplica inteligencia correctamente.

ResearchersDavid Perez AR

What if the most sophisticated attack against your institution didn't come from a foreign group or a global campaign, but from the badge that walks past you every day?

In this talk, we reveal the behind-the-scenes of an investigation that exposed a case of corporate espionage in the Latin American financial sector, where the line between organized crime and an APT becomes dangerously thin.

ResearchersDiego Matos Martins BR·Wesley Silva BR

What happens when you are reverse engineering a device and you hit the wall? You found that the device’s architecture is not X86, no ARM, no MIPS, it’s just a proprietary architecture with basic information available online. You know you can reverse engineer a full Instruction Set Architecture (from now, ISA), but it is going to take a lot of time and effort. So we asked ourselves: can AI do the tedious work for us?

The instructions for the processor are not more than bits, but for us, it could be translated to assembly instructions. This assembly is just a human-readable encoding of bits, and it could be completely novel. And finding the relation between this semantics and the bits is a really tedious job, so why not let this to the AI?

In this talk, we propose a methodology to automatically reverse engineer ISAs using a multi-agent AI pipeline. The approach combines deterministic bit-level analysis with LLM reasoning to recover the ISA from a JieLi JL7012F6 processor, taking as input the disassembled instructions from the vendor's toolchain and producing a processor specification for Ghidra.

Beyond the tool we develop and release, this talk explores new ways in which AI can help in the reverse engineering process and proves the capacity of this technology in this field. Today, AI focuses on the higher levels of computation, but it is really useful in the lower levels too; we just have to find the fit.

ResearchersGaston Aznarez AR·Dan Borgogno AR

Demostrar la viabilidad de utilizar el algoritmo Shor para romper la Criptografía de Curva Elíptica (ECC)

ResearchersGerman Gustavo Bollmann AR

Se mostraran métodos prácticos para capturar y analizar tráfico en aplicaciones móviles Android, iOS y basadas en Flutter. Se abordan proxies a nivel de sistema operativo, instrumentación dinámica para redirigir tráfico hacia un proxy y técnicas de bypass de SSL pinning. Se incluyen demos operativas y material reproducible.

ResearchersJuan Martinez Blanco AR

What happens after submitting a bug bounty report. This talk explores the full process from a triager’s perspective: how reports are evaluated, what common mistakes affect their acceptance, and which best practices can make a difference. We will also look at how AI is influencing report quality and the validation process. A practical perspective on how decisions are made on the other side—and how to maximize the impact of your findings. Presented in Spanish.

ResearchersLeandro Pintos AR

Discovering a vulnerability outside program scope poses an uncomfortable question: how far can I go without legal exposure? This talk examines that boundary in practice: minimal validation, controlled impact, and responsible disclosure—all with one goal: preventing your bug from becoming your legal liability.

ResearchersLuciano Paccella AR

La simulación de brechas y ataques (BAS, por sus siglas en inglés) y el Purple Teaming se han convertido en prácticas clave para validar los controles de seguridad modernos. Sin embargo, muchas organizaciones enfrentan dificultades para traducir la actividad simulada en mejoras significativas en sus capacidades de detección y respuesta.

Esta charla comparte lecciones aprendidas a partir de múltiples ejercicios reales de BAS y Purple Teaming realizados en entornos similares a producción. Se explora la brecha entre la ejecución de ataques simulados y la medición efectiva de la seguridad, destacando desafíos comunes en el diseño de escenarios, la validación de controles y la ingeniería de detección.

ResearchersLuis Cordon GT

Startups and small businesses are increasingly expected to meet enterprise-level cybersecurity standards, but many lack the budget, staff, and specialized expertise required to perform formal risk and maturity assessments. As a result, security frameworks such as the NIST Cybersecurity Framework can feel too complex, abstract, or expensive to operationalize. This session explores how artificial intelligence could be used as a “virtual security assessor” to make cybersecurity assessments more accessible for resource-constrained organizations. Rather than presenting a commercial product, the talk will focus on the design patterns, risks, and safeguards behind AI-assisted assessment systems: adaptive questioning, framework-grounded analysis, maturity scoring, risk prioritization, and actionable remediation roadmaps.

The session will also discuss the limitations of AI in cybersecurity assessment, including hallucination risks, dependency on user-provided data, lack of environmental visibility, and the need for human review. Attendees will leave with a practical understanding of how AI can support—not replace—cybersecurity professionals in assessing organizational maturity and translating complex frameworks into clear, prioritized actions.

ResearchersMariano Facundo Scigliano AR

No abstract was found on the conference website.

ResearchersMariano E Quintana AR

Smart devices in your house are likely vulnerable and easy to hack. This talk will show you how to. Using a handful of cheap tools such as a UART to TTL adapter, an RTL-SDR dongle, and some open-source software, we'll walk you through the process of how I hacked two real targets from scratch. Don’t worry if you don’t know what UART or TTL means, we have you covered.

First, we will explore how a Smart Display was compromised, from gaining initial access to reverse engineering the device and identifying vulnerabilities along the way. Then, we will analyze how a commercial weather station's RF protocol was decoded and how custom data was injected into it.

Along the way, we'll cover the basics: initial reconnaissance of an electronic board, how to identify debug interfaces, and how to approach an unknown radio frequency signal. No prior hardware experience. No expensive lab. Just cheap hardware, open-source tools, and curiosity. Hopefully, you’ll walk away having a plan to start your journey in the hardware hacking world.

ResearchersMatias Perez Fumega AR

La inteligencia artificial está redefiniendo el panorama de la ciberseguridad. Lo que antes eran piezas de código estático y predecible hoy evoluciona hacia amenazas dinámicas capaces de adaptarse, mutar y tomar decisiones en tiempo real.

En esta charla exploramos cómo los atacantes están incorporando modelos de AI para automatizar la generación de variantes, mejorar la evasión y acelerar el ciclo de ataque. A través de casos reales y una demo, se muestra cómo un agente controlado por IA puede cambiar su comportamiento en función del entorno y del resultado de sus propias acciones.

El objetivo no es mostrar malware, sino evidenciar un cambio de paradigma: la detección basada en firmas y patrones está quedando atrás frente a amenazas que evolucionan en cada ejecución.

La pregunta ya no es si esto va a pasar. La pregunta es: ¿estamos preparados para defendernos de algo que aprende?

ResearchersNelson Insaurralde AR

This talk provides a practical overview of exploitation techniques aimed at the most critical web application vulnerabilities from the OWASP Top 10. The presentation highlights how Artificial Intelligence can help at various stages of the exploitation process, including reconnaissance, creating payloads, automation, analysis, and researching vulnerabilities.

ResearchersRafael Soares Ferreira BR

Jaime Restrepo, creador de la comunidad DragonJAR, expone cómo la Inteligencia Artificial Generativa ha reducido las barreras para que los delincuentes informáticos realicen ataques avanzados de ingeniería social, como el phishing altamente personalizado, la clonación de voz (vishing) y la creación de deepfakes. A través de ejemplos prácticos y demostraciones de automatización con herramientas como N8N y modelos de visión, explica cómo los atacantes logran perfilar víctimas masivamente para crear mensajes persuasivos casi imposibles de detectar, al tiempo que presenta soluciones de defensa basadas en la concientización, el uso de herramientas de detección de contenido manipulado y el establecimiento de protocolos de comunicación seguros.

ResearchersJaime Andrés Restrepo CO