NPM蠕蟲供應鏈攻擊竊取開發環境憑證與加密貨幣資產，透過遭駭帳號擴散

來源：https://www.ithome.com.tw/news/175267

3月下旬駭客組織TeamPCP發動一連串供應鏈攻擊，其中一起是蠕蟲程式CanisterWorm，如今傳出類似的蠕蟲活動再度出現。

資安公司Socket發現新一波NPM供應鏈攻擊，駭客疑似針對AI系統建置服務及顧問公司Namastex Labs旗下的NPM套件進行竄改，挾帶的惡意軟體具備以下特性：套件安裝完成後即自動執行惡意程式，會從開發環境挖掘各式憑證、採用由Canister智慧合約驅動的服務，以及透過自我複製的方式滲透其他的套件。

本次駭客使用的惡意程式具備4大功能，首先，會從開發環境收集各式機密資料，包括AWS、Azure與GCP雲端憑證，以及Kubernetes與Docker組態配置、SSH金鑰與組態、資料庫密碼檔，以及.npmrc、.git-credentials、.netrc與.env*等開發環境組態檔案，還有Terraform、Pulumi、Vault等平臺的資料。

除了上述開發環境的資料，有效酬載還會從瀏覽器與加密貨幣錢包應用程式，挖掘各式資料。

在搜刮這些資料後，此惡意軟體就會將檔案以兩種管道傳送，一種是HTTPS的Webhook端點，另一種是ICP智慧合約通訊協定的容器Canister。

最終會透過NPM、PyPI進行擴散，以NPM環境而言，有效酬載會從受害電腦擷取權杖（Token），找出開發人員具發布權限的套件，下載檔案並注入惡意掛鉤（Hook），並重新發布。而對於PyPI環境的部分，惡意程式具備能產生Python酬載的指令碼，一旦找到對應的憑證，就會利用Twine製作惡意套件並上傳。

'

Meta計畫裁撤10%員工，微軟提出自願退休方案

來源：https://www.ithome.com.tw/news/175266

根據金融時報（Financial Times）、彭博社（Bloomberg）及CNBC等媒體的報導，Meta最近正計畫裁撤10%員工，以提升營運效率並抵銷投資支出；微軟則提出了自願退休方案，約7%美國員工符合資格，透過較溫和方式進行人力結構調整，顯示大型科技公司持續強化成本與人力配置。

根據報導，Meta是在週四（4/23）於內部公告，準備在下個月裁撤10%，約影響8,000名員工，以提高營運效率，並抵銷Meta正在進行的其它投資。此外，Meta還取消了原本要招聘的6,000個職缺。

而微軟也在同一天提出了自願退休計畫，鼓勵年紀加上資歷達到或超過70年的員工退休，估計約有7%的美國員工符合資格。

美國媒體並未把此次裁員歸因於AI，多半解讀為效率與成本控管下的調整。不過，在AI及資料中心的需求帶動下，Amazon今年在AI資料中心預計投入2,000億美元，Google為1,850億美元，微軟1,140億美元，Meta則為1,350億美元，合計達6,500億美元，顯示資本支出與人力配置之間的重新平衡，已成為科技巨頭營運策略的核心。

'