#powershell

I automated my entire morning with a single shell script — and my workday starts instantly now

Người viết đã tự động hóa toàn bộ buổi sáng bằng một shell script đơn giản, kết hợp SSH, Chrome profiles và khởi động VMware với các khoảng dừng được tính toán để tránh xung đột. Nhờ vậy, công việc hàng ngày của họ bắt đầu ngay lập tức.

Đọc bài này để hiểu cách tự động hóa các tác vụ hàng ngày bằng script đơn giản, tiết kiệm thời gian và tránh rắc rối khi kết hợp nhiều công cụ như SSH, trình duyệt và máy ảo.

Deletes all instances of Microsoft's GDID and prevents minting of new ones

Công cụ deGDID xóa toàn bộ GDID của Microsoft và ngăn chặn việc tạo mới.

Lập trình viên phát triển ứng dụng trên Windows nên đọc bài này để khắc phục vấn đề bảo mật và hiệu suất khi GDID của Microsoft gây rò rỉ thông tin hoặc gây trễ trong quá trình khởi động.

A Windows 11 service you never asked for is making your laptop run warmer and die sooner

Một dịch vụ mặc định của Windows 11 đang khiến laptop nóng hơn và giảm tuổi thọ pin nhanh chóng.

Lập trình viên nên đọc bài này để hiểu cách tối ưu hóa hệ thống Windows 11 bằng cách loại bỏ dịch vụ không cần thiết, giúp giảm tải cho CPU, giảm nhiệt và kéo dài tuổi thọ thiết bị của mình.

Windows 11 won't let me shut down without an update, and I finally found a way around it

Windows 11 bắt buộc cập nhật trước khi tắt máy, nhưng người dùng có thể tìm cách vượt qua hạn chế này.

Lập trình viên nên đọc bài này để hiểu cách khắc phục vấn đề bảo mật và tính ổn định của hệ thống khi các cập nhật không mong muốn gây ra các lỗi bảo mật hoặc mất ổn định, từ đó có thể áp dụng giải pháp tương tự trong các ứng dụng phần mềm của mình.

Ask HN: Crooked Timber showed showed me a virus captcha, What now?

A user encountered a fake CAPTCHA on the Crooked Timber website that attempted to trick them into running a malicious PowerShell command via the Windows Run dialog. The attack, known as ClickFix, works by injecting a script into the clipboard and instructing the user to paste and execute it, which would download and run a dropper from a remote server. The user recognized the attempt in time. The key takeaway: never execute code through the Run dialog to solve a CAPTCHA — legitimate services never require this.

I use Windows Sandbox for actual project work now, not just sketchy downloads

Tác giả giờ dùng Windows Sandbox cho công việc thực tế nhờ một file cấu hình đơn giản, biến nó từ môi trường thử nghiệm đơn thuần thành công cụ linh hoạt.

Lập trình viên nên đọc bài này vì Windows Sandbox không chỉ là công cụ thử nghiệm ứng dụng đơn giản, mà còn giúp bảo mật và cách ly môi trường thực tế của dự án, giảm rủi ro từ các lỗi hoặc malware trong quá trình phát triển.

How to Download Microsoft Store Apps Directly Without the Store App

How to Download Microsoft Store Apps Directly Without the Store App Have you ever tried installing an app from the Microsoft Store, only to get stuck on an annoying error code like 0x80070422 …

I let Claude clean up my Windows install, and it found bloat I didn't even know existed

Having a large boot disk is a curse and a blessing

Microsoft warns of surge in ACR Stealer attacks on customers

Microsoft ghi nhận sự gia tăng đột biến các cuộc tấn công sử dụng malware ACR Stealer nhằm đánh cắp mật khẩu lưu trong trình duyệt, token xác thực và tài liệu nhạy cảm từ khách hàng doanh nghiệp.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống ứng dụng của mình khỏi các tấn công stealer như ACR, đặc biệt khi phát triển các giải pháp bảo mật hoặc tích hợp các dịch vụ cloud, vì nó liên quan đến việc bảo vệ dữ liệu nhạy cảm và hệ thống an ninh trong ứng dụng.

Now, even Russia’s most elite hackers are using Clickfix to infect devices

Kỹ thuật social-engineering Clickfix vốn chủ yếu được tội phạm tài chính lợi dụng, nay ngay cả hacker tinh nhuệ của Nga cũng sử dụng để lây nhiễm thiết bị.

Lập trình viên nên đọc bài này để hiểu cách các kỹ thuật xã hội hóa (social engineering) như Clickfix được chuyển biến từ công cụ tội phạm sang công cụ tấn công an ninh mạng mới, giúp phát hiện và phòng ngừa các mối đe dọa từ các hacker cao cấp trên toàn cầu.

OkoBot framework infection chain

Chuyên gia Kaspersky GReAT phân tích chiến dịch OkoBot mới nhắm vào người dùng tiền điện tử, sử dụng framework phức tạp kết hợp TookPS, đánh cắp seed phrase, theo dõi trình duyệt Chromium-based và cài đặt nhiều malware như Rilide stealer.

Lập trình viên nên đọc để hiểu cách các framework độc hại như OkoBot hoạt động, từ đó nâng cao kiến thức bảo mật cho ứng dụng của mình và phòng ngừa các mối đe dọa mới trong hệ sinh thái phát triển phần mềm.

Package Status

Learn how Windows package status flags determine package health, availability, and usability, including remediation and servicing states.

LoTL Abuse: How to Spot It vs. Normal Admin Activity

Living-off-the-land (LoTL) attacks abuse legitimate tools like PowerShell, WMI, and RMM software to blend in with normal IT activity. Five key warning signs distinguish malicious use from routine admin work: the tool appearing in unexpected hands, activity originating from unusual machines, abnormal process chains, subtly off command-line syntax, and follow-on behaviors like reconnaissance or lateral movement. Defenders should pressure-test suspicious activity by examining who used the tool, where it ran, how it launched, and what happened next. Preventive measures include better process chain visibility, stronger admin activity logging, tighter control over high-risk tools, and eliminating dormant accounts and legacy systems.

Analyzing Vibe-Coded AD Enumeration

Các tác nhân đe dọa đang sử dụng AI (vibe coding) để tạo ra các script PowerShell tùy chỉnh nhằm thăm dò Active Directory, vượt qua các biện pháp phát hiện dựa trên chữ ký truyền thống. Một script AI thực tế (Untitled1.ps1) được phục hồi và phân tích cho thấy các đặc điểm của LLM như tiêu đề "FULLY FIXED", tên server placeholder, phương pháp khám phá DC phức tạp, khối try/catch lặp và đầu ra console màu sắc quá mức. Script này thu thập dữ liệu AD (người dùng, máy tính, nhóm, OU, subnet, trusts) vào CSV, tạo báo cáo HTML và nén dữ liệu để exfiltration, khiến việc phát hiện dựa trên chữ ký trở nên vô hiệu do script sinh ra độc nhất mỗi lần.

Lập trình viên nên đọc bài này để hiểu cách các nhà tấn công sử dụng AI tạo ra mã độc phức tạp, tránh được phát hiện thông qua các cơ chế ký tự và cần chuyển sang phân tích hành vi để bảo vệ hệ thống Active Directory.

One week with Claude Code automating my desktop taught me more about my own workflow than years of optimization

A writer who covers automation spent a week using Claude Code to clean up their chaotic Windows 11 PC. The experiment covered organizing a Downloads folder by file content (not just extension), auditing startup entries and scheduled tasks, performing disk forensics to find stale VMs and LLM model files, and batch-renaming screenshots using vision capabilities. The key insight is that AI agents handle ambiguous, judgment-heavy tasks that traditional scripts cannot — like reading a PDF to determine where it belongs. The author shares the actual prompts used throughout, emphasizes a dry-run-first, human-approval workflow to avoid accidental data loss, and notes the prompts can be reused with local LLMs.

Malicious Go Module Exposes GitHub Malware Lure Network Span...

Socket researchers uncovered Operation 'Muck and Load', a malware campaign that began with a malicious Go module impersonating a DNS/subdomain scanner. The module embedded hidden PowerShell execution that downloaded encrypted payloads from public dead-drop services (Pastebin, YouTube, Instagram, Telegram), ultimately deploying AsyncRAT, Quasar, Remcos RATs, Vidar infostealer, and Monero cryptominers via password-protected archives. Pivoting from the initial module revealed a GitHub lure network of 222 confirmed repositories across 190 accounts, all using automated commit-farming GitHub Actions workflows to appear active and legitimate. The repositories targeted users seeking crypto tools, wallet utilities, game cheats, and offensive tooling. At least 14 confirmed malware files were found across the network. The malicious Go module has been blocked from the Go module proxy, and GitHub has been notified. The campaign overlaps with previously reported ischhfd83-linked repository-backdoor activity.

SCMBANKER Malware Targets Mexico’s Financial Sector Using ClickFix Lures

Elastic Security Labs has uncovered a banking malware campaign (REF6045) targeting Mexican financial sector customers using ClickFix social engineering. Victims are lured to fake CAPTCHA pages and tricked into pasting malicious PowerShell commands into the Windows Run dialog. The installed SCMBANKER toolkit establishes persistence, captures keystrokes, monitors banking sessions, manipulates clipboard contents, and can deploy remote access software. Researchers also found evidence of LLM-assisted malware development. Recommended defenses include user training on fake CAPTCHA recognition, restricting PowerShell and Windows Run dialog usage, and deploying EDR solutions.

REF6045: Mexican banking fraud toolkit with signs of AI-assisted development — Elastic Security Labs

Elastic Security Labs details REF6045, a Mexican banking fraud operation deploying SCMBANKER — a PowerShell toolkit delivered via ClickFix fake-CAPTCHA pages. Once installed, the operator-assisted toolkit enables banking session monitoring, vishing overlays, browser redirects to phishing pages, clipboard hijacking of CLABE account numbers and card numbers, screenshot capture, keylogging, and silent installation of Remote Utilities for full remote access. The toolkit shows strong signs of AI-assisted development: LLM-generated code artifacts including heavy banner comments, self-documenting obfuscation, and profanity-laced comments in sensitive modules suggest the operator prompted a Spanish-language LLM for most functional scripts. Significant OPSEC failures — open directories, an exposed full web-root archive, and an unauthenticated file editor — allowed full recovery of the operation's tooling. The post includes MITRE ATT&CK mappings, IOCs, and Elastic detection rules.

My Event Viewer logs were useless until I fed them to Claude — now it catches failures Windows misses

Windows Event Viewer generates thousands of log entries but buries actionable errors in noise, making it nearly useless for most users. By exporting logs via PowerShell — including WHEA hardware errors, disk/NTFS warnings, Task Scheduler, and System/Application logs — and feeding them to Claude with a targeted prompt, it's possible to surface real problems. In one session, Claude identified a faulty USB drive causing data loss, escalating UPS overload alarms, and MSI Center exhausting UDP ports and causing intermittent network issues — all issues that had been silently logged but never noticed.

Palette remapping hundreds of Krita files

A developer with 300+ pixel art assets in Krita needed to remap colors across all files to a new palette without manually redoing each one. Using Krita's built-in Python Scripter, they wrote a script that parses two GIMP Palette (.gpl) files and replaces old colors with new ones by matching color names. The post also covers batch-exporting all .kra files to PNG via the Krita command line and a PowerShell script for recursive export.

Fake Google and Cloudflare verification pages spread multiple malware families

A new wave of ClickFix attacks uses fake Google reCAPTCHA and Cloudflare verification pages to trick users into running malicious PowerShell commands. The campaigns share common infrastructure — Cloudflare R2 buckets, a C:\ProgramData\Zooms staging folder, and IPs hosted by Dedik Services Limited — while delivering multiple malware families including HijackLoader, StealC, Remus, Amatera Stealer, CastleLoader, NetSupport, and a Rust-based stealer. A newly documented loader called ResiLoader is distributed via a trojanized Franz messaging app; it uses a BYOD driver technique to terminate 140+ AV/EDR processes, performs UAC bypass, and ultimately deploys StealC via process hollowing. The post includes full IOCs: hashes, C2 domains, payload distribution domains, and IP addresses.

Inherited Circuits, Learned Semantics: How Security Fine-Tuning Can Create Hidden Evasion Risk

Việc tinh chỉnh bảo mật (fine-tuning) cho các mô hình ngôn ngữ lớn (LLM) có thể cải thiện độ chính xác phân loại nhưng đồng thời tạo ra những lỗ hổng né tránh (evasion) tiềm ẩn. Nghiên cứu chỉ ra rằng fine-tuning kế thừa mạch phân loại (classification circuit) từ mô hình gốc nhưng thay đổi cách các thành phần mạng sau xử lý bằng chứng, khiến các biến đổi đơn giản (thay thế alias, tái cấu trúc chuỗi, biến đổi chữ hoa/thường) có thể vượt qua mô hình fine-tuned dù mô hình gốc xử lý chúng tốt. Hai phương pháp giám sát trước triển khai được đề xuất: sử dụng linear probe để phát hiện drift biểu diễn (representation drift) và kiểm tra dấu token (sign test) để xác định các họ lệnh bị fine-tuning đảo ngược vai trò token. Khuyến nghị chính là coi fine-tuning như nguồn gây drift biểu diễn và tiến hành red-team (kiểm thử tấn công) các họ lệnh bị thay đổi nhiều nhất trước khi triển khai.

Một lập trình viên phát triển hệ thống AI an toàn nên đọc bài này để hiểu cách fine-tuning mô hình ngôn ngữ lớn có thể tạo ra các lỗ hổng bí mật trong việc phân loại nguy hiểm, từ đó giúp họ thiết kế và kiểm thử hệ thống trước khi triển khai để tránh các cuộc tấn công thông minh.

Microsoft keeps reinstalling Copilot, but this Group Policy removes it for good

Microsoft Copilot keeps reinstalling itself after Windows updates, but a newly introduced Group Policy setting allows permanent removal. For Windows 11 Pro/Education/Enterprise users, the policy is found in Group Policy Editor under User Configuration > Administrative Templates > Windows Components > Windows AI. Home edition users can achieve the same result via a registry tweak or a PowerShell command that sets the RemoveMicrosoftCopilotApp DWORD value to 1. The policy only applies if Copilot was pre-installed (not user-installed) and hasn't been launched in the last 28 days.

Russia's 'Gamaredon' Upgrades Its Arsenal, Requiring New Defenses

Russia's FSB-linked APT group Gamaredon (aka Aqua Blizzard, Armageddon) significantly upgraded its offensive capabilities in 2025. ESET tracked 35 spear-phishing campaigns against Ukrainian government and military targets. The group developed six new PowerShell-based downloaders, including PteroPaste — a tool that spreads malware via USB drives by disguising loaders as Word documents. Gamaredon also improved its C2 concealment by leveraging Microsoft and Cloudflare tunneling services, Cloudflare Workers, and dead-drop techniques to hide infrastructure behind legitimate domains. Stolen data is now exfiltrated to cloud services like AWS S3 and Dropbox. In the second half of 2025, Gamaredon collaborated with fellow Russian APT Turla, providing initial access for Turla's Kazuar exploitation framework. Defenders are advised to restrict PowerShell access for non-admin users, scan USB drives, and implement identity-aware microsegmentation to detect anomalous traffic to trusted platforms.