Retour en mars 2025 : premier CTF on-site pour le HackGyver 2.0 lors du fameux Insomni'hack de Lausanne (CH). Les équipes étaient limitées à 8 participants et nous n'étions que 5 ; au final, nous avons terminé 32e sur 112.

Nous voilà un an après, en mars 2026 : l'heure de la revanche a sonné pour le HackGyver 2.0 !

Cette année, nous sommes 8, l'équipe est au complet (Miizix, Futex, M7Cryptic, Gadget, Scttpr, Bouilon et un ami de Bouillon). Au programme : petite préparation des goodies de l'Hack'vent et de quelques cadeaux pour les potes. Nous avons prévu des stickers pour les échanges et deux ou trois badges imprimés en 3D.

INS2026 - 19/03/26: Jour 1

Réveil à 4h30 du matin : un petit expresso et deux doppios dans la thermos. Départ à 5h15 pour une heure d'arrivée prévue à 7h45.

Finalement, nous étions au logement à 8h00 pile. Ne sachant pas où nous garer, nous avons appelé l'hôte Airbnb pour nous renseigner. La dame est sortie en pyjama... je crois que nous l'avons réveillée, oups ! Nous avons tout de même pu garer la voiture dans la cour et hop, direction l'EPFL.

Après 5 minutes à pied, nous y sommes. Première étape indispensable : un ristretto, puis direction le stand de merchandising.

Liste du merch disponible :

• Gourde, porte-cartes, casquette, drapeau
• Bomber, T-shirt, polo, sweat zippé, pull à capuche

Après avoir acheté un beau sweat et une gourde, place à la première conférence : Cybersecurity between geopolitics and tech supremacy.

Cette intervention de Florian Schütz (Directeur de l'Office fédéral de la cybersécurité suisse) a exploré l'intersection entre la cybersécurité et les rapports de force géopolitiques. Il a souligné comment la maîtrise des technologies critiques (IA, 5G, quantique) redéfinit la souveraineté des États. Florian a analysé les stratégies de cyberdéfense face aux acteurs étatiques et non étatiques dans un contexte de compétition pour la suprématie technologique mondiale.

Ensuite, nouveau ristretto et récolte de quelques goodies en tout genre, dont des mouchoirs Fortinet (pour pleurer sur les prix ou sur le nombre de CVE, je ne sais pas encore...)

Puis seconde conférence "Smile, You’re on Camera: A Live Stream from Inside Lazarus Group’s IT Workers Scheme" de Mauro Eldritch et Heiner García Perez sur l’infiltration du groupe nord-coréen Famous Chollima qui finance en partie les missiles balistiques. En documentant l'intégralité de leur chaîne opérationnelle via des sandboxes mises en place par Any.run, ils ont exposé les méthodes de recrutement frauduleux via Github et les infrastructures de travail à distance utilisées pour contourner les sanctions internationales.

Le paper entier et détaillé disponible : https://any.run/cybersecurity-blog/lazarus-group-it-workers-investigation/

Dans la foulée, nous avons enchaîné avec le film documentaire « Don't Go to the Police » d'Orange Cyberdefense, réalisé par Ludoc. Le film nous plonge au cœur de la traque contre le groupe LockBit. Son objectif est d'alerter les dirigeants et le grand public afin d'amplifier la prise de conscience face aux nouveaux enjeux de la sécurité numérique.

On avait carrément des pop-corns et un tote bag rempli de goodies.

Franchement, le film est vraiment bien tourné ! Il est d'ailleurs disponible gratuitement sur YouTube.

12h30 — Les copains sont arrivés et, en plus, c'est l'heure de manger : que demander de plus ?

Le chef nous a confié avoir préparé 1300 hot-dogs, c'est énorme !

Petit résumé des confs et du film pour les potes qui n'ont pas pu être là ce matin.

On a échangé des stickers HG et GT-bidouille, puis nous nous sommes posés dans une salle pour exposer tous les "jouets" de Gagdet et t3c...

Comme il n'y avait pas de talks auxquels nous voulions participer, nous sommes passés à l'atelier lockpicking où le chef a pwn un cadenas !

D'ailleurs, nous nous sommes inscrits avec Futex au tournoi de lockpicking, qui aura le lendemain après-midi. Le "ticket d'entrée" était déjà un défi en soi : pour valider l'inscription, il fallait réussir à crocheter des menottes auxquelles nous étions attachés !

Une pause s'impose : petite balade au bord du lac Léman.

Les villas sont incroyables : gardes 24h/24, 7j/7 et caméras industrielles partout.

La vue était quand même incroyable... C'est beau la Suisse !

Retour au Swiss Tech Convention Center.

Gadget, de son côté, s'en va à Genève pour rencontrer Michel Houellebecq.

D'ailleurs, la première page que j'ai ouverte était assez... spéciale...

Enfin bref.

Dernière conf de la journée sur les différents types de toilettes dans le monde. Ah non pardon, le reverse de Solana.

Allez, hop, direction l'Airbnb ! Petite surprise : bien que nous nous soyons garés le plus près possible du mur, quelqu'un a quand même réussi à mettre un coup de portière dans la voiture... Résultat, elle a maintenant une très jolie bosse.

La faim commence à se faire sentir, nous réservons donc une pizzeria près du lac pour six personnes.

Finalement, nous ne serons que trois. Après 15 minutes de marche, nous arrivons à la pizzeria. L'intérieur sentait bon, le four était magnifiquement beau et l'endroit très chaleureux. Mais, mauvaise surprise : nous avons été installés dehors sur la terrasse, tout seuls, tout au fond. Nous avons donc gentiment refusé de rester là, en veste et sans un brin de gaieté.

Retour à l'EPFL pour se rabattre sur le Holy Cow. C'était blindé de monde, mais vraiment très bon. Merci à Futex qui nous aura payé le repas !

Bien mangé, bien bu ! Place à la douche, à la rédaction de ce jour 1 et à une bonne nuit de sommeil pour le CTF de demain.

INS2026 - 20/03/26: Jour 2

Réveil à 9h30 : nous n'avons pas voulu assister aux deux premières conférences pour dormir un peu plus et être en forme pour le CTF.

De retour à l'EPFL, comme d'habitude : petit ristretto et on enchaîne les talks. Le premier, animé par Carel van Rooyen et Nicolas Heiniger (Swiss Re), a exposé une méthodologie de Purple Teaming automatisé visant à valider l'efficacité réelle des piles de détection face à des menaces concrètes.

Le second talk, présenté par Alex Plaskett et Robert Herrera (Synacktiv), a détaillé une chaîne d'exploitation complexe ciblant l'unité d'infodivertissement (IVI) des Tesla Model 3. L'attaque s'est concentrée sur le processeur AMD Ryzen, exploitant une vulnérabilité de type Time-of-Check to Time-of-Use (TOCTOU) au sein de l'AMD Secure Processor (ASP).

À la fin du talk, j'ai croisé tcc : c'était l'occasion de lui donner son cadeau de l'Hack'vent et son pull !

L'heure du repas a sonné ! Menu différent d'hier mais toujours aussi bon : des mauricettes, de la salade (un peu de légumes, ça ne fait pas de mal !) et des desserts. En mangeant avec Futex, M7, Bouillon et son ami, un scttpr sauvage est apparu, casque à la main et trois heures de route dans les dents. Il nous a reconnus grâce à nos pulls et t-shirts HackGyver ! (D'ailleurs, ils sont dispos sur la boutique, lol).

Directement après le repas, il était temps de se rendre au tournoi de lockpickin. Celui-ci était animé par le groupe DEFCON local "DC4131", une association suisse connue pour la conférence Area41 qui a lieu tous les deux ans.

Les duels (1 contre 1, en face-à-face) se présentaient comme des épreuves de rapidité : menottés par l'organisateur, nous devions nous libérer au plus vite en utilisant uniquement un trombone ou un outil de crochetage. Une fois les mains libres, l'étape suivante consistait à déverrouiller un cadenas à trois goupilles pour accéder à une sacoche scellée. L'objectif ultime de cette course contre la montre ? S'emparer du pistolet Nerf à l'intérieur de la sacoche pour toucher l'adversaire. Pour gagner, il fallait éliminer tout le monde un à un.

TL;DR : On a perdu au premier round... Franchement, c'était ouf à voir, la finale était très tendue !

Une fois la compétition de lockpicking terminée, nous avons enchaîné avec deux présentations passionnantes sur la sécurité offensive physique et embarquée :

"Many roads lead to flash" (Qais Temeiza) : Un talk technique sur l'extraction de firmware via l'exploitation de bootloaders. Qais a démontré comment contourner les protections (CRP) du microcontrôleur NXP LPC1343 pour moins de 40 $. Il a détaillé des attaques par corruption de paquets USB et par coupure de courant synchronisée (tear-off) pour forcer l'accès à la mémoire flash.

"When Digital Meets Physical" (Marin Cornuot) : Une démonstration de compromission de systèmes de contrôle d'accès et de CCTV. Marin a exposé comment il a intercepté du trafic vidéo et exploité des services Java RMI vulnérables pour ouvrir des portes à distance, allant jusqu'au clonage de badges MIFARE DESFire réputés sécurisés.

Fin des talks ! Nous sommes partis acheter des provisions au Denner d'à côté. On a littéralement dévalisé le magasin : œufs durs, fromage, Parfait, bonbons, chocolats... Puis, retour à l'EPFL pour se préparer au lancement du CTF.

INS2026 - 20/03/26: CTF

Nous avons rapidement trouvé une table de huit pour préparer notre matos. Gadget a sorti un rouleau de stickers Cyber : autant dire qu'il y en avait partout, des murs jusqu'à nos pulls !

Côté réseau, on a sorti l'artillerie : un routeur MikroTik avec SSD pour s'isoler et faire tourner nos propres services sous Docker (SMB, Pi-hole, etc.). Côté ravitaillement, il y avait de la bière, du vin et des chocolats proposés par le même traiteur que le midi.

Avec 15 minutes de retard, le CTF a enfin commencé. Nous avons utilisé un Framapad pour centraliser nos recherches sur les différents challenges. Au sommet du document, nous avons listé les épreuves en cours pour s'organiser :

Liste des challenges :

• Still Standing (Forensics)
• RSAAAH (Crypto) -> OK

Pour chaque épreuve, nous notions le nom du challenge entre des bannières pour pouvoir faire un Ctrl+F rapidement :

==============
Still Standing
==============

Les flags s'enchaînent plutôt bien : aux alentours de 23h, nous étions classés entre la 30e et la 40e place. Gadget a dû nous quitter pour attraper son train et tcc est rentré à l'hôtel. Nous avons donc fini la soirée à six, avec un seul objectif : FLAG à fond.

Les heures passent, les Red Bull s'enchaînent et les flags deviennent de plus en plus durs à décrocher...

À 3 heures du matin, lors du dernier rush, Phil (du hackerspace de Grenoble) est venu nous booster avec une bouteille de Chartreuse, un moment très agréable ! D'ailleurs, avec sa team, ils avaient réussi à trouver un easter egg dans le challenge "The Quest", des coordonnées GPS qui les ont emmenés à l'extérieur de l'EPFL pour creuser afin de détérrer un ticket d'or ! (échangeable contre du merch)

Grâce à ce dernier élan, nous avons validé deux ou trois challenges supplémentaires pour finir 17e sur 115 équipes.

Le staff avait également préparé un "Hall of Shame" affichant le nombre de requêtes envoyées aux différentes IA par équipe : magnifique ! La remise des prix a ensuite eu lieu, en commençant par les catégories étudiantes, puis les équipes classiques, avec pour récompenses :

• 20g d'or pour la première équipe
• 8g d'or pour la deuxième équipe
• et 4g d'or pour la troisième équipe

6h du matin : l'heure d'aller enfin dormir avant le départ pour Belfort prévue pour 11h.

Insomni'hack, à l'année prochaine !

Write-up - Golden Payout (forensics)

Trip report (vidéo)