DirtyBlanket-worm maakt npm-installatie tot Linux-compromis; AMD zet iGPU-optimalisatie klaar

Negen npm-pakketten die Express of React imiteren, kunnen volgens een technische analyse op Linux een worm installeren die zich via SSH, AUR en npm-tokens verder verspreidt. AMD heeft intussen een IOMMU-optimalisatie voor geïntegreerde Radeon-GPU’s klaargezet voor Linux 7.4; de eerste metingen zijn veelbelovend, maar nog geen stabiele-kernelresultaat. In Rust verschijnen zowel een alternatief voor Serde als een brede compilerprestatie-update.

Npm-imitaties verspreiden Linux-worm via SSH en publish-tokens

De securityanalyse van SafeDep beschrijft negen npm-pakketten van account dirtyblanket, gepubliceerd binnen 33 minuten op 29 september. Acht imiteren Express en één React. Wie een pakket op Linux installeert, activeert volgens de analyse een preinstall-hook die een loader via de Internet Archive Wayback Machine ophaalt; die haalt vervolgens een Bash-script van Codeberg binnen.

De beschreven tweede stap is ernstiger dan een gewone malafide dependency. De worm installeert een als systemd-fontservice vermomde backdoor, doorzoekt leesbare SSH-privésleutels en known_hosts, en probeert daarmee andere Linux-hosts te bereiken. Daarnaast zou hij AUR-pakketten kunnen aanpassen waarvoor een aangetroffen sleutel schrijfrecht heeft, en lokale npm-projecten met beschikbare npm-tokens opnieuw kunnen publiceren met dezelfde hook. De analyse meldt dat de worm ook onder WSL naar sleutels en .npmrc-bestanden zoekt.

De bron is een analyse van één securitybedrijf, geen npm-incidentrapport, maar bevat pakketnamen, hashes en paden voor detectie. Wie een van de negen genoemde pakketten op Linux heeft geïnstalleerd, moet daarom conservatief handelen: behandel host, leesbare SSH-sleutels en npm-tokens als mogelijk geraakt; isoleer de machine, roteer credentials en controleer eigen gepubliceerde npm-versies en AUR-repositories. De backdoor kan volgens de analyse zowel als root- als gebruikersservice persistent worden, dus alleen het package verwijderen is geen afdoende herstelactie. Technische analyse en IOCs · Lobsters-discussie

AMD zet PerfOpt klaar voor Radeon-iGPU’s in Linux 7.4

AMD heeft een PerfOpt-wijziging in de IOMMU-boom gezet voor de komende Linux 7.4-cyclus. Op geïntegreerde Radeon-GPU’s mag die volgens Phoronix directe toegang tot systeemgeheugen langs de IOMMU leiden, om overhead te vermijden. De AMDGPU-driver zou de optimalisatie standaard inschakelen; uitschakelen voor een A/B-test kan met amdgpu.iommu_perfopt=0.

Dat is relevant voor lokale inference op Ryzen-laptops en -minipc’s met gedeeld geheugen. De eerste tests gebruiken Lemonade met llama.cpp op Strix Halo-, Strix Point- en Krackan-systemen; de bron noemt winst tot circa 18–23% in sommige AI/LLM-metingen. Dat getal is nadrukkelijk geen algemene belofte: hardware, model, contextlengte en runtime bepalen hier veel.

De wijziging zit nog vóór de merge window van eind oktober; de stabiele Linux 7.4 verwacht de bron pas tegen het eind van het jaar. Wie een geschikte AMD-iGPU heeft, kan dit straks als gerichte kernel-A/B-test plannen, met dezelfde modelquant, context en klok-/energie-instellingen. Eerdere AMD-dekking ging over discrete R9700-topologie, niet over deze iGPU- en IOMMU-route. Artikel en testopzet · Reddit-discussie

Deser kiest voor eventgedreven Rust-serialisatie, met harde compatibiliteitsgrens

Armin Ronacher presenteert Deser, een Rust-serialisatielibrary die dezelfde bekende derive-oppervlakte als Serde wil bieden, maar de deserialisatie fundamenteel omdraait. In plaats van dat een type via recursieve visitors de parser aanstuurt, levert de parser gebeurtenissen aan sinks; de driver houdt toestand op de heap in een arena.

De motivatie zijn onder meer bufferingproblemen rond intern getagde enums, flatten, arbitrary-precision-nummers en adapters die niet elegant met Option of Vec combineren. Deser claimt daartegenover lossless buffering, composeerbare type-adapters, standaard duplicate-key-afwijzing en streambare, onderbreekbare parsing. Voor invoer die je niet vertrouwt is vooral de expliciete limiet los van de call stack een interessant ontwerpdoel.

Dit is geen drop-in oplossing voor elk Serde-project. Deser kiest bewust niet voor niet-zelfbeschrijvende formaten zoals protobuf; bovendien meldt de auteur gemengde runtimeprestaties en meer binary-bloat, ondanks wat betere compileertijden. De ecosysteemverankering van Serde blijft een reële migratiebarrière. Zie Deser daarom als een serieuze ontwerpoptie voor nieuwe ingest- of configpaden, niet als een algemene upgrade. De HN-discussie is klein en biedt geen onafhankelijke prestatievalidatie. Ontwerp, voorbeelden en trade-offs · HN-discussie

Nura legt een onderhoudsroute voor dagelijks bruikbare Linux-telefoons vast

Nura, het voormalige postmarketOS, definieert zijn lege categorie main opnieuw. Een toestel komt daar niet alleen op basis van werkende functies in, maar moet volgens het plan via UEFI booten, een upstreamkernel met minimale patches gebruiken, geen forks van toestelspecifieke pakketten vereisen en een generiek device-package gebruiken. Het doel is één flashbaar aarch64-image per interface en snellere kernelsecurityupdates voor alle main-toestellen.

Ook het onderhoud krijgt harde voorwaarden: een toestelteam moet uiteindelijk minstens vijf maintainers omvatten, waarvan een meerderheid bij Nura hoort, en verantwoordelijkheid dragen voor onder meer kernelregressies, hardware-CI, triage, documentatie en regelmatige afstemming. Als eerste kandidaten noemt het project de Fairphone 5, Motorola Edge 30 en Radxa Dragon Q6A, alle drie rond de SM7325 met al aanzienlijke mainline-ondersteuning.

Dit is een concrete ontwikkeling na de namiddagupdate van maandag, die alleen de naamswijziging behandelde. Het is geen belofte dat deze telefoons binnenkort als dagelijkse Linux-telefoons functioneren: Nura noemt geen ETA en het werk is grotendeels vrijwilligerswerk. Wel maakt het project voortaan toetsbaar wat ‘onderhouden’ en ‘upstream’ voor een mobiele Linux-port moeten betekenen. Criteria, workflow en kandidaatapparaten · Lobsters-discussie

Rust-compiler meldt 4,57% gemiddelde wall-timewinst in twee maanden

Rust-performanceontwikkelaar Nicholas Nethercote rapporteert voor 29 juli tot 28 september een gemiddelde daling van 4,57% in wall time over de bijgehouden compilerbenchmarks: 555 van 629 metingen verbeterden, 74 verslechterden. De update koppelt dat aan onder meer PGO voor Clippy, de overgang naar LLVM 23 en verbeteringen in trait-solving, datastroomanalyse en incrementele compilatie.

Een opvallend specifiek resultaat zit in een crate met meer dan 18.000 basic blocks: een andere traversalgoritme voor dataflow zou daar voor één analyse van 1,5 miljoen naar 90.000 apply_effects_in_block-aanroepen zijn gegaan, goed voor circa 30% minder wall time voor een check-build. Tegelijk zijn de nieuwe Polonius Alpha-borrowchecker en trait solver nog niet overal gratis: de auteur noemt resterende regressies, ook bij populaire crates zoals Serde.

Dit is een samenvatting van de eigen Rust-perfmetingen, geen garantie voor iedere workspace of stabiele toolchain. De genoemde nieuwe checker en solver staan bovendien op nightly. Toch is het een nuttige aanwijzing voor teams met lange CI: meet toolchain-upgrades op de eigen crategrafiek en splits cold builds, incrementele builds, Clippy en rustdoc uit; één gemiddeld percentage maskeert zowel uitschieters als regressies. Meetoverzicht en technische uitsplitsing · Lobsters-discussie

Verder nog

• OpenAI Dots start als always-on agentproduct: OpenAI kondigde Dots aan; een medewerker schreef daarna dat de uitrol binnen twaalf uur zou plaatsvinden. De beschikbare context bevat geen technische productspecificatie of onafhankelijk beeld van rechten, datagebruik en betrouwbaarheid. Behandel de aankondiging daarom niet als reden om al werk of credentials aan een autonome agent toe te vertrouwen. Aankondiging · HN-discussie · rolloutclaim
• CoW bouwt een stapelende Wayland-windowmanager boven River: versie 0.3 wil een FVWM/MWM-achtige desktop combineren met configureerbare server-side decorations, native menu’s en scriptbare IPC. Interessant voor wie precies die klassieke windowmanagerbenadering op Wayland zoekt; de projectpagina vermeldt wel een kleine community en 22 samengevoegde wijzigingen die pas in de volgende release zitten. Projectpagina · Lobsters-discussie