How Hackers Can Hide PowerShell in Environment Variables

แชร์
ฝัง
  • เผยแพร่เมื่อ 9 ม.ค. 2025

ความคิดเห็น • 71

  • @_JohnHammond
    @_JohnHammond  8 วันที่ผ่านมา

    is the sky always blue? actually check this out to learn more cybersecurity jh.live/training and join my newsletter jh.live/newsletter for more like this

  • @abdirahmann
    @abdirahmann 9 หลายเดือนก่อน +12

    This is a very NEAT technique, did you stumble upon this technique in the wild being used by some bad actors?, how did you come up with it, Its really nice. I LOVED IT

  • @NB-ph6cv
    @NB-ph6cv 9 หลายเดือนก่อน +2

    Im really happy to see you grow, I have recommended you to a "thousand" others and now I see u got 1.3 m subs which is AMAZING. Keep on what ur doing! Greetings!

  • @polycapmuniu8494
    @polycapmuniu8494 9 หลายเดือนก่อน +18

    This video is eye-opening! It's crazy to see how hackers can use something as innocuous as environment variables to hide malicious PowerShell commands. The level of sophistication in cyber attacks is just mind-boggling. Understanding these tactics is crucial for staying safe online. Thanks for the insightful breakdown! Time to up my cybersecurity game.

    • @_JoeVer
      @_JoeVer 9 หลายเดือนก่อน +22

      thanks, chatgpt, very cool!

    • @xenostim
      @xenostim 9 หลายเดือนก่อน +3

      yeah, why have chatgpt write this comment?? lmao

  • @superb3333yt
    @superb3333yt 9 วันที่ผ่านมา +1

    You inspired me to make some more Powershell-Obfuscation-Scripts (using comment-blocks, math and variables). I took a command, passed it through them (and of course through yours) three times and I wasn't abled to deobfuscate this one command in under five minutes 🤣

  • @aadishm4793
    @aadishm4793 9 หลายเดือนก่อน +4

    Great video, seems like a good way to obfuscate commands!

  • @valorsec
    @valorsec 9 หลายเดือนก่อน +8

    Please bring a video on the new xz malware discovered

    • @baeg1689
      @baeg1689 9 หลายเดือนก่อน +1

      i agree

  • @dyerseve3001
    @dyerseve3001 9 หลายเดือนก่อน +1

    As i understand reverse engineering, which is very little admitedly. This is how hackers optimize building ROP gadgets. If you get a fixed number of bytes to add to the execution stack, you make sure that what is added is entirely built from other sections of the static mapped memory, because specific strings of assembly will be in fixed locations to reference. So instead of creating code that takes several bytes you just point to a chunk of that already in memory, thereby keeping the exploit within that limited stack space required to maintain the overflow or use after free or whatever tactic the codespace was permitted to hit the stack without the kernel overflowing. Stringing multiple gadgets together creates a ROP chain which is the set of functions you need the exploit to do.

  • @exploittutorial8689
    @exploittutorial8689 9 หลายเดือนก่อน +5

    where do you get windows iso to run in vmware or virtualbox, the official site offers 22GB zip which is unreasonable

    • @DS6Prophet
      @DS6Prophet 9 หลายเดือนก่อน +6

      In case my previous comment got deleted for whatever reason, I'll say again: The default ISO from Microsoft's website is about 5-6 GBs. You just download that & install it on virtual box normally. Don't waste time with the "optimized for VM" ISOs.

    • @curious_hrk
      @curious_hrk 9 หลายเดือนก่อน +2

      Media Creation Tools from Microsoft let's you make an iso of windows

    • @robotron1236
      @robotron1236 9 หลายเดือนก่อน +1

      I’ve never once heard of any OS being that large; even something as bloated as windows.

  • @liamcoates4890
    @liamcoates4890 9 หลายเดือนก่อน

    You disappeared off my algorithm then I tried to remember ur name when I saw the xz hack and then I see u have 1.3 milli subs, you had 350k last time I watched a vid, killin it!!!

  • @jamesroycoronel4987
    @jamesroycoronel4987 9 หลายเดือนก่อน +1

    Watching right now❤

  • @YuKonSama
    @YuKonSama 9 หลายเดือนก่อน +3

    If you have variables that only have the user name as a variable path, you could for example use string splitting on \ to get more options.

  • @boogieman97
    @boogieman97 9 หลายเดือนก่อน +1

    You have built a nice very pythonic conditional christmas tree 😊😊

  • @xYarbx
    @xYarbx 9 หลายเดือนก่อน

    Did this idea come from a sample or just random thought ? Also nice to have more of the red team POV stuff. I've been trying to improve on red side since I've been made part of purple team and stuff like this is helping me make the mental shift.

  • @houseofcards251
    @houseofcards251 8 หลายเดือนก่อน

    Great stuff. I would like to know how this looks in the event logs. Does it just show the env variables or does it show the cmdlet being run?

  • @NotMolly-jf2rh
    @NotMolly-jf2rh 9 หลายเดือนก่อน +2

    Love you, dude. I am continuously hacked. Dangerous stalker. I have managed to thwart him a few times thanks to vids like this, many are yours! 🌹

    • @Electro-tw9um
      @Electro-tw9um 9 หลายเดือนก่อน

      what!?

    • @Hepad_
      @Hepad_ 9 หลายเดือนก่อน +3

      You need medication

  • @women-mw1uh
    @women-mw1uh 9 หลายเดือนก่อน +1

    Cool video keep it up

  • @MikeyMacc
    @MikeyMacc 9 หลายเดือนก่อน

    One form of obfuscation could even be caps, powershell should be case insensitive

  • @cyber_space09
    @cyber_space09 9 หลายเดือนก่อน

    This video is interesting and enthusiastic 😁😂

  • @josecintron85
    @josecintron85 9 หลายเดือนก่อน

    this is a great idea... now i just need to translate python to PS to make it work on any Windows environment. Usually I don't have python available on Windows systems during tests.

  • @ndoomTech
    @ndoomTech 9 หลายเดือนก่อน

    love the content!! keep killing it! what keyboard are you using in the newish setup?

  • @ronin0x_
    @ronin0x_ 9 หลายเดือนก่อน +1

    John please make a video on the xz utils vulnerability and on Jia Tan😭

  • @Braint-lr6uf
    @Braint-lr6uf 9 หลายเดือนก่อน

    It's worrying the lack of Jurassic Park references.

  • @wickedwidget3812
    @wickedwidget3812 9 หลายเดือนก่อน

    I am new to coding so all of this has been informative but very confusing to me. I need to start from the beginning of your videos I guess lol

  • @vlado8587
    @vlado8587 9 หลายเดือนก่อน +1

    TNX bro

  • @stollenjack6699
    @stollenjack6699 9 หลายเดือนก่อน

    THANKS YOU

  • @whoami8234
    @whoami8234 9 หลายเดือนก่อน

    So helpful

  • @carsonjamesiv2512
    @carsonjamesiv2512 9 หลายเดือนก่อน +1

    YES!😃

  • @petko9001
    @petko9001 9 หลายเดือนก่อน

    Thanks for the great video John, I would like to see what kind of setup you are using (home lab, personal rig, laptop etc.). Can you do a home lab, everyday carry video? I think it will be very interesting and inspiring for the community

  • @rogerioabreu3081
    @rogerioabreu3081 9 หลายเดือนก่อน

    is this really useful if my environment is hardened?

    • @dyerseve3001
      @dyerseve3001 9 หลายเดือนก่อน

      Not to be harsh, but if you don't know, I wonder how hardened your stuff is. This was just an exercise in obfuscation, an attacker would already need a way to execute powershell code on your hardened system.

    • @rogerioabreu3081
      @rogerioabreu3081 9 หลายเดือนก่อน

      @@dyerseve3001 haha yep! Thanks for your reply. That's why I asked. I don't have any environment. I am just studying. some measures:
      Allsigned in the execution policy, no downgrade, ConstrainedLanguage, JEA, no powershell removing,WDAC Policy. Moreover, I could enable the various types of powershell logging in order to catch the execution of this obfuscated command.

  • @warlordkeys
    @warlordkeys 9 หลายเดือนก่อน

    leaking my sauce man :( - +10/10 video

  • @SatoshiSky
    @SatoshiSky 7 หลายเดือนก่อน

    Love the python content

  • @xAngryDx
    @xAngryDx 9 หลายเดือนก่อน

    You are naughty boy John

  • @ElvisLamAsia
    @ElvisLamAsia 9 หลายเดือนก่อน +2

    Use a debugger bro :D

  • @joe-skeen
    @joe-skeen 9 หลายเดือนก่อน

    It would be fun to run this on PowerShell Core in Linux or Mac 😂

  • @nionioniosmeg
    @nionioniosmeg 9 หลายเดือนก่อน

    Activate Windows got me

  • @omaroumessaoud8268
    @omaroumessaoud8268 9 หลายเดือนก่อน

    The icons are so big😅

  • @chiragartani
    @chiragartani 9 หลายเดือนก่อน

    Going to watch the video. Will ask if I want to know something

  • @brizzelsprout
    @brizzelsprout 9 หลายเดือนก่อน

    fun!

  • @gavinmicks227
    @gavinmicks227 9 หลายเดือนก่อน

    Why is there so many ai written comments on this….

  • @webdashnews1211
    @webdashnews1211 9 หลายเดือนก่อน

    make a video on how to detect hacking script which is in encoded javascript , i saw a pastebin post which can hack peoples crypto from g2a account scamming people via encode js code malicious

  • @shakibbro2
    @shakibbro2 8 หลายเดือนก่อน

    please 1 video how to hacked gmail password please please new video
    🙏🙏🙏🙏🙏🙏

  • @exploittutorial8689
    @exploittutorial8689 9 หลายเดือนก่อน +2

    i tried brute-forcing dvwa with hydra but wont work. I had to build a custom script can someone send me the command

  • @xyssxy
    @xyssxy 9 หลายเดือนก่อน +1

    video content is good, but python code quality terrible

  • @romansovetskikh7902
    @romansovetskikh7902 9 หลายเดือนก่อน

    I'm not trust snyk.

  • @exploittutorial8689
    @exploittutorial8689 9 หลายเดือนก่อน

    420😄

  • @jimo8486
    @jimo8486 9 หลายเดือนก่อน +33

    😂 powershell_command = 'Write-Output 420'

  • @b1U3b0i
    @b1U3b0i 9 หลายเดือนก่อน +1

    I guess first

  • @aadishm4793
    @aadishm4793 9 หลายเดือนก่อน +1

    I guess I am first😀

  • @setup.repair
    @setup.repair 9 หลายเดือนก่อน

    Python... wtf

    • @Alfred-Neuman
      @Alfred-Neuman 9 หลายเดือนก่อน +1

      He's using Python, the programming language...
      It's not a snake so don't worry it's not going to bite you!

    • @exploittutorial8689
      @exploittutorial8689 9 หลายเดือนก่อน

      LOL where have you been

    • @Hepad_
      @Hepad_ 9 หลายเดือนก่อน

      What's wrong with python ?

    • @Alfred-Neuman
      @Alfred-Neuman 9 หลายเดือนก่อน

      @@Hepad_
      He's probably thinking: "Why would you spend 30 minutes writing this python script when you can spend 2 days writing a C++ code that will do the same exact thing?" lol