awesome-dsh-plugin 市场 dsh-plugin-blender-3d 0.2.1 版本投毒事件解析

awesome-dsh-plugin 社区插件市场的 npm 包 dsh-plugin-blender-3d 在 2026-10-26 发布的 0.2.1 版本植入 postinstall 钩子，从 S3 拉取二阶段载荷，普通用户权限下释放 XMRig 挖矿程序，root 或免密 sudo 环境下尝试运行持久化 agent，该版本下载量约 1,231 次。