用户下载的软件源代码，将间谍软件传播给前往官网下载软件的用户。 此外，黑客还会向一些软件开发者常用的软件包存储库如npm、PyPI和RubyGems等注入带有恶意代码的软件包。这些软件包在用户下载后安装时会触发恶意行为。比较知名的供应链攻击事有XcodeGhost风波。