DSH 插件市场供应链真实投毒案例解析

awesome-dsh-plugin 社区插件市场的 npm 包 dsh-plugin-blender-3d 在 2026-10-26 发布的 0.2.1 版本植入 postinstall 钩子，从 S3 拉取二阶段载荷，普通用户权限下释放 XMRig 挖矿程序，root 或免密 sudo 环境下尝试运行持久化 agent，该版本下载量约 1,231 次。市场索引版本完全跟随 npm latest，三条默认安装路径中两条解析至恶意版本；同一账号 26 秒后发布的 @walknpm/[email protected] 携带字节级相同脚本，作者推断更可能是 npm 发布凭据泄露而非维护者自始投毒。维护者复核证据后删除清单条目，npm 已移除 0.2.1 并将 latest 回退至干净的 0.2.0，且确认现有收录检查从未覆盖 install scripts。