[$] LWN.net Weekly Edition for June 5, 2025

Post Syndicated from corbet original https://lwn.net/Articles/1022979/

Inside this week’s LWN.net Weekly Edition:

  • Front: OpenH264 in Fedora; Wallabag; Safety certification; 6.16 Merge window; Bounce buffering; Hardening repository problems; Device-initiated I/O; Faster networking; OSPM 2025; Free software in science.
  • Briefs: Kea vulnerabilities; Alpine Linux 3.22.0; Fedora strategy; Quotes; …
  • Announcements: Newsletters, conferences, security updates, patches, and more.

[$] Device-initiated I/O

Post Syndicated from jake original https://lwn.net/Articles/1022718/

Peer-to-peer DMA (P2PDMA) has been part of
the kernel since the 4.20 release in 2018;
it provides a framework that allows devices to transfer data between themselves
directly, without using system RAM for the transfer. At the 2025 Linux
Storage, Filesystem, Memory Management, and BPF Summit (LSFMM+BPF), Stephen
Bates led a combined storage, filesystems, and memory-management session on
device-initiated I/O, which is perhaps what P2PDMA is evolving toward. Two
years ago, he led a session on P2PDMA at the
summit; this year’s session was a brief update on P2PDMA with a look
at where it may be heading.

Introducing our newest 2025 AWS Heroes cohort

Post Syndicated from Taylor Jacobsen original https://aws.amazon.com/blogs/aws/introducing-our-newest-2025-aws-heroes-cohort/

The AWS community is a vibrant network of innovators, problem-solvers, and thought leaders who drive cloud technology forward. Today, we’re excited to shine a spotlight on three exceptional individuals who embody the spirit of innovation, knowledge-sharing, and community building. From architecting scalable solutions for millions of users to fostering inclusive tech groups, these professionals are making notable contributions within the AWS community. Let’s give them a warm welcome!

Christian Bonzelet – Cologne, Germany

DevTools Hero Christian Bonzelet is an AWS Solutions Architect at Bundesliga and creator of promptz.dev (a specialized prompt library for Amazon Q Developer). He brings over a decade of media and entertainment industry expertise to the AWS community. Since his first AWS project in 2013, architecting a high-scale voting system for a major German television broadcast, Christian has been passionate about AWS, serverless architecture, and AI/ML technologies. He excels at helping teams optimize their AWS implementations and develop business-aligned solutions, particularly when designing highly scalable systems serving millions of users. Known for his collaborative approach to system design and architecture, Christian actively shares his insights and experiences with the AWS community.

David Victoria – Monterrey, Mexico

Community Hero David Victoria is a senior cloud architect at Caylent. He has a Master’s in Cybersecurity and a Computer Science degree, and nine AWS certifications. With over a decade of experience delivering secure, cost-effective, and scalable solutions, David leads the AWS User Group Monterrey and helps organize the AWS Community Day México, creating spaces where thousands of builders connect and grow. His commitment to mentoring the next generation of cloud professionals across Latin America reflects his belief that “your network is your net worth.” Beyond his technical expertise, David is dedicated to fostering meaningful relationships within the AWS community, whether through public speaking, community leadership, or technical consulting.

Nora Schöner – Erlangen, Germany

DevTools Hero Nora Schöner is a senior cloud engineer with diverse industry experience who specializes in cloud architecture and DevOps. Her expertise in site reliability engineering and infrastructure as code helps teams build robust, accessible systems for both developers and stakeholders. Nora has been actively involved with AWS User Groups since 2016, co-organizing the AWS User Group Nuremberg and contributing to the AWS Community DACH Support Association. She founded She ‘n IT Nuremberg to connect women in tech and shares her unique blend of cloud technology expertise and manga art passion through her blog at wolkencode.de.

Learn More

Visit the AWS Heroes website if you’d like to learn more about the AWS Heroes program, or to connect with a Hero near you.

Taylor

Strategy 2028 update (Fedora Community Blog)

Post Syndicated from jzb original https://lwn.net/Articles/1023837/

Outgoing Fedora Project Leader Matthew Miller has posted an update
on Fedora’s high-level plan through 2028:

[Fedora] Council members identified potential Initiatives that we
believe are important to work on next. We came up with a list of
thirteen — which is way more than we can handle at once. We previously
set a limit of four Initiatives at a time. We decided to keep to that
rule, and are planning to launch four initiatives in the next months

The initiatives are: making Fedora releases block on accessibility
issues, experimenting with a “GitOps” workflow for packaging,
migrating from Pagure to Forgejo, and “making sure Fedora
Linux is ready for people who want to work on machine learning and AI
development
“.

[$] Two sessions on faster networking

Post Syndicated from daroc original https://lwn.net/Articles/1022648/

Cong Wang and Daniel Borkmann each led session at the 2025 Linux Storage,
Filesystem, Memory Management, and BPF Summit about their respective
plans to speed up networking in the Linux kernel. Both sessions described ways
to remove unnecessary operations in the networking stack, but they focused on
different areas. Wang spoke about using BPF to speed up socket operations,
while Borkmann spoke about eliminating the overhead of networking
operations on virtual machines.

[$] The importance of free software to science

Post Syndicated from jake original https://lwn.net/Articles/1023299/

Free software plays a critical role in science, both in research and in
disseminating it. Aspects of software freedom are directly relevant to
simulation, analysis, document preparation and preservation, security,
reproducibility, and usability. Free software brings practical and specific
advantages, beyond just its ideological roots, to science, while
proprietary software comes with equally specific risks. As a practicing
scientist, I would like to help others—scientists or not—see the benefits
from free software in science.

(Не)познатият дявол на тревожността и депресията

Post Syndicated from original https://www.toest.bg/nepoznatiyat-dyavol-na-trevozhnostta-i-depresiyata/

(Не)познатият дявол на тревожността и депресията

Когато за пръв път се сблъсках с безсънието, реагирах като истински българин и не отидох на лекар, защото не смятах, че съм луд. Преди да ми се случи това нещо, което стана през не особено приятната за мен 2011 година, се отнасях доста скептично към депресията и не можех да разбера как това, че си тъжен, е болест. Подобно на мнозина смятах, че човек трябва да се стегне, да не мрънка и да търпи. 

Всичко това – при положение че имам фамилна предразположеност към тази болест. Както се казва, на чужд гръб и сто тояги са малко, а докато не ти дойде до главата, не знаеш за какво става дума. Можем да продължим с българските народни глупости, но истината е, че при среща с психичното заболяване първоначално сме като 

в небрано лозе

Затова и едно състояние, което може би има възможност да се овладее навреме, започва да се влошава, докато не стане хронично. Което не означава, че човек постоянно страда, но симптомите понякога се завръщат, както знаем от Стивън Кинг. Докато отида на доктор, изчерпах всички други възможности, включително да проверя дали не ми е направена магия. Поне не съм давал пари – разчитах на приятели, безплатно предлагащи ми експертността си в областта на окултното.

Междувременно взе да ми става ясно, че както казваше Дънкан Маклауд в увода на сериала „Шотландски боец“, не съм сам и има и други като мен. В новина, излязла по-рано тази година, вестник „24 часа“ ни ощастливи, че полудяваме и вече над един милион българи страдаме от тревожност. В статията с това гръмко заглавие има любопитна информация за зачестяването на психичните диагнози и обострянето на ситуацията предвид пандемията от коронавирус.  Истината е, че още преди забелязах колко се чака за психиатричен преглед, та не е като да няма интерес. Помня, че когато препоръчвах лекарката, оправила положението при мен, на други мои закъсали приятели, майка ми каза, че това не е ресторант, та да го споделям наляво и надясно. Аз обаче смятам, че отърваването ми от активните симптоми на генерализираната тревожност, каквато се оказа моята диагноза, ме оставя с известен дълг да говоря по въпроса. Вече съм изгубил броя на приятелите, търсещи ме за съвет, след като разберат, че съм преживял такова нещо, и не считам за позорно да споделям. 

Тези заболявания бележат ръст не само в България, но и по целия свят

Донякъде е заради стресовия живот, който водим, донякъде обаче е и защото вече започваме да говорим по-свободно за тези проблеми, без страх, че ще ни осъдят. Започва да се разбира, че да кажеш на някого с психично страдание „да се стегне“ е като да очакваш някой с навехнат крак смело да стъпи върху него.

В този текст ще обърна внимание на „по-леките“ състояния, които все още се приемат за „лигавщини“ – тревожност, депресия, безсъние, обсесивно-компулсивно разстройство, панически атаки. Те сериозно влошават качеството на живот и изискват, освен посещение при специалист, и по-спокойно говорене за тях. Най-малкото е добре страдащият да не получава подигравки. Искам да дам няколко практически съвета и добри примери какво да се прави при среща с тези болести. Със сигурност не е добра идея да се ходи на врачка, да се леят куршуми, да се викат духове и т.н. Молитвата, която духовниците препоръчват, може да помогне, но не и да замени квалифицираната помощ.

И така, първо. Ако се случи на вас

Най-важното, което трябва да се знае, е, че тревожността по принцип е нормална и дори полезна реакция, мобилизираща човека да се справи с трудна ситуация. Подобно е и с тъгата – при загуба на близък, раздяла с любим човек, разваляне на старо приятелство е напълно нормално да си потиснат. Проблем има, когато не можеш да изключиш от този режим, а тревожността и депресията са толкова силни, че пречат на ежедневните ти дейности. Безсънието например те оставя изтощен и отчаян, неспособен да се справиш със служебните ангажименти и да си пълноценен в общуването с близките. Паническата атака също е разтърсваща и преживелият я става боязлив и притеснен. Познавам човек, който ми призна, че навремето е смятал оплакванията ми от депресия за несериозни, но рязко променил мнението си за психическите заболявания, когато преживял паническа атака. „Помислих, че ще пукна“, сподели той с мен твърде живописно, макар и лаконично.

В такива моменти всякакви съвети трудно достигат до човека, но е важно да се знаят две основни неща. Въпреки клишето за лудите, няма нещо ненормално да имаш подобни оплаквания. Вижте заглавието на „24 часа“ – над милион сме! Ако се обединим в партия, може да победим и евентуалната бъдеща формация на Румен Радев. Шегата настрана, не бива да се притеснявате, че това, което става с вас, е срамно. Нито е безнадеждно, както и да изглежда в момента. Днес медицината е доста напреднала и ако хапчетата от романите на Агата Кристи действително са били изключително опасни и смъртоносни (в книгите ѝ героите взимат барбитурати, днес ползвани главно за анестезия и лечение на епилепсия), в наши дни медикаментите, ако изобщо се стигне до тях, са по-щадящи. Въпреки това човек не бива да се самолекува, а да намери специалист, на когото да се довери. Какъв да е той, според мен е индивидуално. Аз лично имам нужда от някой по-внимателен и прощаващ, при други хора по-добре действа някой по-строг. Добрият психолог или психиатър обаче е подготвен да прецени какъв подход е правилният за вас.

В обобщение, да имате такава болест нито е срамно, нито е необичайно. Тя може да се преодолее, но с подходящата помощ. Не е речено при първата безсънна нощ да хукнете по специалисти, но ако видите, че положението се влошава, не отлагайте.

Второ. Ако се случи на близък

Това е доста по-сложно, макар грижата за друг човек да е силно мотивираща. Най-важното е да успеете да видите, че нещо не е наред. Рискови групи са почти всички, но специално внимание заслужават младите хора, при които тези болести обикновено започват да се проявяват със симптоми, често обяснявани с пубертета: загуба на интерес към любими дейности, занемаряване на външния вид, влошаване на успеха в училище. Понякога зад тях се крие нещо по-лошо. За мен особено рискова група са мъжете, тъй като те не са свикнали да споделят за такива проблеми. При тях те могат да се проявят нетипично (с гняв), а също и да завършат трагично – макар да опитват по-рядко самоубийства, при мъжете обикновено тези опити са ефективни.

Най-важното е човек да бъде изслушан, без да бъде осъждан и укоряван. Да не се дават празни и банални съвети, като това да „мисли позитивно“, а по-скоро да се изрази разбиране („Това, което преживяваш, е наистина ужасно, съчувствам най-искрено“). Да не се внушава чувство за вина („Празник е, а ти разваляш настроението на всички“). Да бъде насочен към специализирана помощ с акцент, че така може да получи облекчение на страданията си.

Важно е, когато помагате на друг, да не пренебрегвате напълно себе си и своите нужди. Нито вие, нито обектът на грижите ви ще спечели, ако също се поболеете. Не се чувствайте гузни, ако си открадвате време да прекарате добре, на кафе с приятели или на кино. Това даже е задължително. Животът не е и не бива да бъде само страдание.

Трето. Какво да правим като общество

Това е въпросът за един милион лева (или половин милион евро, живот и здраве от догодина). Истината е, че човечеството като цяло сравнително отскоро започва да се запознава с природата на тези заболявания, да развива клонове от фармакологията, заделени за тях, да създава методи за подкрепа, разбиране и справяне с проблема. Най-важното е за тези състояния да не се мълчи, защото те засягат голям брой хора, които остават с впечатлението, че са черни овце и са оставени сами с мъката си, която никой не разбира. Затова е много важно, че известни хора като актьора Даниел Радклиф или пилота от Формула 1 Ландо Норис говорят по темата за психичното здраве открито, като признават уязвимостта си. Така те могат да помогнат на свои фенове също да бъдат по-честни. 

В България все още сме по-назад, но напоследък нещата се променят, за което свидетелства и появата на сериал като „Тревожност“ по-рано тази година. 

За повече чуваемост може да се предприемат няколко стъпки

Първо, от страна на медиите. Необходимо е да се отделя повече време за този проблем. Май е обявен за месец на хората с психически проблеми, но не получава и една десета от вниманието към юни, който е за правата на ЛГБТ хората. Това не е критика към вторите, още повече че те също са в рисковите групи на „празнуващите“ през май, а по-скоро че няма внимание към първите. Повече статии, повече добронамерени материали са необходими, по възможност без крещящи заглавия като онова, че полудяваме дружно.

Второ, от страна на образователната система. Тук е добре по някакъв начин децата да научат, че тези състояния съществуват, че могат да засегнат всеки, но също и че в повечето случаи могат да бъдат преодолени. Това не важи само за психическите болести – болките в кръста също са широко разпространени, но аз например го научих сравнително наскоро; преди това смятах, че в моето семейство пак сме си нещо кекави. Като цяло е добре младите хора да имат базова информация за предизвикателствата пред здравето си, в това число и психическото. Как това ще се съчетае с часовете по религия и добродетели, засега не е ясно.

Трето, от страна на работодателите. Повече разбиране за хора с такива оплаквания, повече яснота за бърнаута, който ги прави нетрудоспособни или опасни за себе си и околните. Докато следвах, научих, че по време на индустриализацията във Великобритания някакъв търговец осъществил голям пробив, когато разбрал, че работниците му – парадоксално – са по-продуктивни, когато имат повече свободно време. Стигнали ли сме нивото на този индустриалец?

Четвърто, от страна на масовата култура.

Психическите проблеми всъщност са сравнително популярен неин аспект, особено на запад. Прави се обаче честата грешка психичните заболявания да се представят като нещо чудовищно (лошия от „Тексаското клане“) или да се фетишизират като нещо привлекателно (Харли Куин и Жокера от „Отряд самоубийци“). Това не е изцяло лошо, тъй като все пак вкарва проблема в обращение, но не го представя правдиво и затруднява реалните страдащи, които едва ли са с изящно оформени тела – всъщност лекарствата за страданията им обикновено водят до качване на килограмите

Разбира се, има и страхотни примери за сериозни драматични филми, като „Красив ум“ с Ръсел Кроу и „Солистът“ с Робърт Дауни-младши. Тях обаче не всеки ги гледа, тъй като темата не е от най-леките и приятните, а и са посветени на това, което личната ми терапевтка наричаше „голямата, страшната болест“ – шизофренията. Затова не е зле по-меките състояния да бъдат вплитани ненатрапчиво в популярни произведения, така че засягането им да не звучи дидактично, а човешки да представи проблема. Отличен пример е „Хари Потър и Орденът на феникса“, петата книга от поредицата на Дж. К. Роулинг. Макар никъде да не е посочена диагноза на главния герой, гледан от отказващи всякакво разбиране негови роднини, той проявява класически симптоми на преживяна травма, тъй като е бил свидетел на смъртта на свой съученик (Седрик) в предишната книга. Много интересни са коментарите на пораснали читатели, които споделят, че като тийнейджъри са се дразнили на гневните му изблици и на внезапната промяна на поведението му, но като възрастни изпитват съчувствие и разбиране към него. 

Епичният фентъзи роман Dragon Mage от М. Л. Спенсър пък предлага историята на герой, който, подобно на самата авторка и на сина ѝ, има аутизъм. Диагнозата отново не е спомената, но вместо това са показани гледната точка на персонажа, различното му мислене, но също и уменията му по свой начин да бъде силен, да обича, да помага, да греши.

Леките психически заболявания са проблем, който е с нас, за да остане. Имаме два варианта за реакция. Единият е да си заровим главите в пясъка като щрауси и да смятаме суеверно, че ако наложим табу над темата, подобни болести няма да ни застигат. Това е магическо мислене, доказано неефективно. Затова идва вторият вариант – да започнем да говорим на тази тема спокойно, честно и смело, така че да я демистифицираме. Най-силният страх на човека, казва писателят Хауърд Лъвкрафт, е този от неизвестното. Поради тази причина, ако ние превърнем депресията и тревожностите в „познат дявол“, те ще спрат да ни притесняват толкова и ще станат напълно победим противник.

Security updates for Wednesday

Post Syndicated from jzb original https://lwn.net/Articles/1023793/

Security updates have been issued by AlmaLinux (git, krb5, perl-CPAN, and rsync), Debian (tcpdf), Fedora (libmodsecurity, lua-http, microcode_ctl, and nextcloud), Red Hat (osbuild-composer), SUSE (389-ds, avahi, ca-certificates-mozilla, docker, expat, freetype2, glib2, gnuplot, gnutls, golang-github-teddysun-v2ray-plugin, golang-github-v2fly-v2ray-core, govulncheck-vulndb, helm, iperf, kernel, kernel-livepatch-MICRO-6-0_Update_2, kernel-livepatch-MICRO-6-0_Update_4, krb5, libarchive, libsoup, libsoup2, libtasn1, libX11, libxml2, libxslt, orc, podman, python-Jinja2, python-requests, python3-setuptools, python310, python311, python39, rubygem-rack, sslh, SUSE Manager Client Tools, SUSE Manager Client Tools and Salt Bundle, ucode-intel, util-linux, and wget), and Ubuntu (libvpx, linux, linux-aws, linux-aws-hwe, linux-gcp, linux-gcp-4.15, linux-hwe, linux-kvm, linux-oracle, linux, linux-aws, linux-azure, linux-gcp, linux-gke, linux-gkeop, linux-ibm, linux-intel-iotg, linux-kvm, linux-lowlatency, linux-nvidia-tegra, linux-oracle, linux, linux-aws, linux-kvm, linux-aws, linux-lts-xenial, linux-aws-fips, linux-azure-fips, linux-fips, linux-gcp-fips, linux-aws-fips, linux-gcp-fips, linux-azure-fde, linux-fips, and linux-intel-iot-realtime, linux-realtime).

The Ramifications of Ukraine’s Drone Attack

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2025/06/the-ramifications-of-ukraines-drone-attack.html

You can read the details of Operation Spiderweb elsewhere. What interests me are the implications for future warfare:

If the Ukrainians could sneak drones so close to major air bases in a police state such as Russia, what is to prevent the Chinese from doing the same with U.S. air bases? Or the Pakistanis with Indian air bases? Or the North Koreans with South Korean air bases? Militaries that thought they had secured their air bases with electrified fences and guard posts will now have to reckon with the threat from the skies posed by cheap, ubiquitous drones that can be easily modified for military use. This will necessitate a massive investment in counter-drone systems. Money spent on conventional manned weapons systems increasingly looks to be as wasted as spending on the cavalry in the 1930s.

The Atlantic makes similar points.

There’s a balance between the cost of the thing, and the cost to destroy the thing, and that balance is changing dramatically. This isn’t new, of course. Here’s an article from last year about the cost of drones versus the cost of top-of-the-line fighter jets. If $35K in drones (117 drones times an estimated $300 per drone) can destroy $7B in Russian bombers and other long-range aircraft, why would anyone build more of those planes? And we can have this discussion about ships, or tanks, or pretty much every other military vehicle. And then we can add in drone-coordinating technologies like swarming.

Clearly we need more research on remotely and automatically disabling drones.

Rapid7 Q1 2025 Incident Response Findings

Post Syndicated from Chris Boyd original https://blog.rapid7.com/2025/06/04/rapid7-q1-2025-incident-response-findings/

Rapid7 Q1 2025 Incident Response Findings

Rapid7’s Q1 2025 incident response data highlights several key initial access vector (IAV) trends, shares salient examples of incidents investigated by the Rapid7 Incident Response (IR) team, and digs into threat data by industry as well as some of the more commonly seen pieces of malware appearing in incident logs.

Is having no MFA solution in place still one of the most appealing vulnerabilities for threat actors? Will you see the same assortment of malware regardless of whether you work in business services or media and communications? And how big a problem could one search engine query possibly be, anyway?

The answer to that last question is “very,” as it turns out. As for the rest…

Initial access vectors

Below, we highlight the key movers and shakers for IAVs across cases investigated by Rapid7’s IR team. While you’ll notice a fairly even split among several vectors such as exposed remote desktop protocol (RDP) services and SEO poisoning, one in particular is clearly the leader of the pack where compromising organizations is concerned: stolen credentials to valid/active accounts with no multi-factor authentication (MFA) enabled.

Rapid7 Q1 2025 Incident Response Findings

Valid account credentials — with no MFA in place to protect the organization should they be misused — are still far and away the biggest stumbling block for organizations investigated by the Rapid7 IR team, occurring in 56% of all incidents this first quarter.

Exposed RDP services accounted for 6% of incidents as the IAV, yet they were abused by attackers more generally in 44% of incidents. This tells us that third parties remain an important consideration in an organization’s security hygiene.

Valid accounts / no MFA: Top of the class

Rapid7 regularly bangs the drum for tighter controls where valid accounts and MFA are concerned. As per the key findings, 56% of all incidents in Q1 2025 involved valid accounts / no MFA as the initial access vector. In fact, there’s been very little change since Q3 2024, and as good as no difference between the last two quarters:

Rapid7 Q1 2025 Incident Response Findings

Vulnerability exploitation: Cracks in the armor

Rapid7’s IR services team observed several vulnerabilities used, or likely to have been used, as an IAV in Q1 2025. CVE-2024-55591 for example, the IAV for an incident in manufacturing, is a websocket-based race condition authentication bypass affecting Fortinet’s FortiOS and FortiProxy flagship appliances. Successful exploitation results in the ability to execute arbitrary CLI console commands as the super_admin user. The CVE-2024-55591 advisory was published at the beginning of 2025, and it saw widespread exploitation in the wild.

One investigation revealed attackers using the above flaw to exploit vulnerable firewall devices and create local and administrator accounts with legitimate-looking names (e.g., references to “Admin”, “I.T.”, “Support”). This allowed access to firewall dashboards, which may have contained useful information about the devices’ users, configurations, and network traffic. Policies were created which allowed for leveraging of remote VPN services, and the almost month-long dwell time observed in similar incidents may suggest initial access broker (IAB) activity, or a possible intended progression to data exfiltration and ransomware.

Exposed RMM tooling: A path to ransomware

As noted above, 6% of IAV incidents were a result of exposed remote monitoring and management (RMM) tooling. RMMs, used to remotely manage and access devices, are often used to gain initial access, or form part of the attack chain leading to ransomware.

One investigation revealed a version of SimpleHelp vulnerable to several critical privilege escalation and remote code execution vulnerabilities, which included CVE-2024-57726, CVE-2024-57727, and CVE-2024-57728.

These CVEs target the SimpleHelp remote access solution. Exploiting CVE-2024-57727 permits an unauthenticated attacker to leak SimpleHelp “technician” password hashes. If one is cracked, the attacker can log-in as a remote-access technician. Lastly, the attacker can exploit CVE-2024-57726 and CVE-2024-57728 to elevate to SimpleHelp administrator and trigger remote code execution, respectively. CVE-2024-57727 was added to CISA KEV in February 2025.

The vulnerable RMM solution was used to gain initial access and threat actors used PowerShell to create Windows Defender exclusions, with the ultimate goal of deploying INC Ransomware on target systems.

SEO poisoning: When a quick search leads to disaster

SEO poisoning, once the scourge of search engines everywhere, may not be high on your list of priorities. However, it still has the potential to wreak havoc on a network. Here, the issue isn’t so much rogue entries in regular search results, but instead the paid sponsored ads directly above typical searches. Note how many sponsored results sit above the genuine site related to this incident:

Rapid7 Q1 2025 Incident Response Findings
Multiple sponsored searches above the official (and desired) search result

This investigation revealed a tale of two search results, where one led to a genuine download of a tool designed to monitor virtual environments, and the other led to malware. When faced with both options, a split-second decision went with the latter and what followed was an escalating series of intrusion, data exfiltration and—eventually—ransomware.

Rapid7 Q1 2025 Incident Response Findings
An imitation website offering malware disguised as genuine software

On the same day of initial compromise, the attacker moved laterally using compromised credentials via RDP, installing several RMM tools such as AnyDesk and SplashTop. It is likely that the threat actor searched for insecurely stored password files and targeted password managers. They also attempted to modify and/or disable various security tools in order to evade detection, and create a local account to enable persistence and avoid domain-wide password resets.

An unauthorized version of WinSCP was used to exfiltrate a few hundred GB of sensitive company data from several systems, and with this mission accomplished only a few tasks remained. The first: attempting to inhibit system recovery by tampering with the Volume Shadow Copy Service (VSS), clearing event logs, deleting files, and also attempting to target primary backups for data destruction. The second: deployment of Qilin ransomware and a blackmail note instructing the victim to communicate via a TOR link lest the data be published to their leak site.

Qilin ranked 7 in our top ransomware groups of Q1 2025 for leak post frequency, racking up 111 posts from January through March. Known for double-extortion attacks across healthcare, manufacturing, and financial sectors, Qilin (who, despite their name, are known not to be Chinese speakers, but rather Russian-speaking) has also recently been seen deployed by North Korean threat actors Moonstone Sleet.

Attacker behavior observations

Bunnies everywhere: Tracking a top malware threat

BunnyLoader, the Malware as a Service (MaaS) loader possessing a wealth of capabilities including clipboard and credential theft, keylogging, and the ability to deploy additional malware, is one of the most prolific presences Rapid7 has seen this first quarter of 2025. In many cases, it’s also daisy-chained to many of the other payloads and tactics which make repeated appearances.

To really drive this message home: BunnyLoader is the most observed payload across almost every industry we focused on. Whether we’re talking manufacturing, healthcare, business services or finance, it’s typically well ahead of the rest of the pack. Here are our findings across the 5 most targeted industries of Q1:

Rapid7 Q1 2025 Incident Response Findings

BunnyLoader is in pole position not only for the 5 industries shown above, but across 12 of 13 industries overall, with 40% of all incidents observed involving this oft-updated malware.

Just over half of that 40% total involved a fake CAPTCHA (commonly used for the purpose of victims executing malicious code), with malicious / compromised sites appearing in a quarter of BunnyLoader cases. Rogue documents, which may be booby-trapped with malware or pave the way for potential phishing attacks, bring up the rear at just 9% of all BunnyLoader appearances recorded. First offered for sale in 2023 for a lifetime-use cost of $250, its continued development and large range of features make it an attractive proposition for rogues operating on a budget.

Targeted organizations: The manufacturing magnet

Manufacturing organizations were targeted in more than 24% of incidents the Rapid7 IR team observed, by far the most targeted industry in Q1 based on both Rapid7’s ransomware analytics and IR team observations. The chart below compares Rapid7’s industry-wide data (comprising a wide range of payloads and tactics) with ransomware leak post specific data. In both cases, manufacturing is a fair way ahead of other industries; this reflects its status as one of the most popular targets for ransomware groups over the last couple of years.

The manufacturing industry is an attack vector for nation states because it is an important component of global trade. It is also an area that has many legacy and older, operational technologies (OT). Combine unpatched legacy systems with complicated supply chains, and you have a risk that nation state actors will find an attractive target. This is especially the case when considering that many manufacturing organizations have critical contracts with governments, and attacks can cause severe disruption if they’re not speedily resolved.

Rapid7 Q1 2025 Incident Response Findings

Conclusion

Q1 2025 resembles a refinement of successful tactics, as opposed to brand new innovations brought to the table. Our Q1 ransomware analytics showed threat actors making streamlined tweaks to a well-oiled machine, and we find many of the same “evolution, not revolution” patterns occurring here.

This progression is particularly applicable in the case of initial access via valid accounts with no MFA protection. We expect to see no drop in popularity while businesses continue to leave easy inroads open and available to skilled (and unskilled) attackers.

In addition, the risk of severe compromise stemming from seemingly harmless online searches underscores the necessity for organizations to reexamine basic security best practices, alongside deploying robust detection and response capabilities. Businesses addressing these key areas for concern will be better equipped to defend against what should not be an inevitable slide into data exfiltration and malware deployment.

Broadcom Tomahawk 6 Launched for 1.6TbE Generation

Post Syndicated from Patrick Kennedy original https://www.servethehome.com/broadcom-tomahawk-6-launched-for-1-6tbe-generation/

Today Broadcom is launching its next-generation of switch ASICs with the Broadcom Tomahawk 6 series. This is a new 102.4Tbps switch that can handle up to 64 ports of 1.6TbE. Yes, we are now replacing the “Gigabit” with the “Terabit” Ethernet port era. The two new ASICs, the Broadcom BCM78910 and BCM78914 offer two different […]

The post Broadcom Tomahawk 6 Launched for 1.6TbE Generation appeared first on ServeTheHome.

The collective thoughts of the interwebz