Nexus 防火墙组件的官方分析过程（图自： Sonatype ）

过去数月，这几款恶意软件包被下载量将近 5000 次，存储且发布者使用了 nedog123 的库被款加矿恶用户名。

learninglib 中包含的发现 maratlib 依赖项

以下是对应的六款恶意软件的名称与下载数： 复制● maratlib：2371  ● maratlib1：379  ● matplatlib-plus：913  ● mllearnlib：305  ● mplatlib：318  ● learninglib：626  1.2.3.4.5.6.

LKEK 也指向了 maratlib 依赖项

其中一些明显利用了错误的单词拼接方法，并且故意碰瓷 PyPI 上热门的密货机器学习包文件（比如用李鬼 mplatlib 来假冒官方的云服务器提供商 matplotlib）。

maratlib 代码中包含了严重的币挖混淆

尽管此类攻击似乎只是为了窃取部分系统资源，但供应链安全攻击还是意软让 Sonatype 感到十分紧张。

0.6 代码中高亮显示的官方 GitHub 网址

即便代码被严重加花、并从 GitHub 上调用了其它包，存储但 Sonatype 还是库被款加矿恶详细解释了他们是如何检测到加密货币挖矿类恶意软件的免费源码下载。

aza2.sh 中的发现 Bash 脚本，也被发现了某些版本的密货 maratlib 。

最后，币挖Sonatype 指出，意软此类恶意软件不大可能影响大多数运行高级反病毒防护软件的官方普通用户，而是更加针对那些拥有高性能 Linux 机器的机器学习研究人员们。源码下载

(责任编辑：应用开发)