Nuget

A equipe de pesquisa de ameaças da Socket identificou nove pacotes NuGet maliciosos que incorporam cargas destrutivas com ativação programada, representando uma ameaça significativa para desenvolvedores .NET e sistemas de controle industrial (ICS). Publicados sob o pseudônimo shanhai666 entre 2023 e 2024, esses pacotes utilizam padrões legítimos para ocultar códigos de sabotagem que podem encerrar aplicações ou corromper operações anos após a instalação. Cada pacote malicioso contém cerca de 20 linhas de lógica destrutiva em meio a milhares de linhas de funcionalidade legítima. Após datas de ativação predefinidas, como 8 de agosto de 2027 e 29 de novembro de 2028, há uma probabilidade de 20% de que o código chame Process.GetCurrentProcess().Kill(), resultando em falhas abruptas nas aplicações. O pacote mais perigoso, Sharp7Extend, ataca sistemas de comunicação Siemens S7 PLC, podendo interromper processos e sabotando operações de gravação sem que os operadores percebam erros visíveis. A campanha, que já acumulou quase 9.500 downloads, utiliza táticas de typosquatting e evasão de IA para evitar detecções automáticas, tornando a identificação e a atribuição de responsabilidade extremamente difíceis. As organizações são aconselhadas a auditar projetos imediatamente e a implementar ferramentas de verificação de dependências para mitigar esses riscos.

Um conjunto de nove pacotes maliciosos do NuGet foi identificado como capaz de implantar cargas úteis com atraso para sabotar operações de banco de dados e corromper sistemas de controle industrial. Publicados entre 2023 e 2024 por um usuário identificado como ‘shanhai666’, esses pacotes foram baixados quase 9.500 vezes. O pacote mais perigoso, Sharp7Extend, visa controladores lógicos programáveis (PLCs) industriais, utilizando dois mecanismos de sabotagem: a terminação aleatória de processos e falhas silenciosas de gravação que ocorrem entre 30 a 90 minutos após a instalação. Os pacotes maliciosos foram projetados para ativar códigos maliciosos em datas específicas, em 2027 e 2028, dificultando a resposta a incidentes e a investigação forense. A análise do código-fonte sugere que o autor pode ter origem chinesa, e a combinação de técnicas sofisticadas torna este ataque uma preocupação significativa para desenvolvedores e empresas que utilizam essas bibliotecas. A remoção dos pacotes do NuGet não elimina o risco, pois muitos desenvolvedores podem não estar cientes da introdução do malware em seus projetos.

Pesquisadores de cibersegurança identificaram um novo ataque à cadeia de suprimentos que visa o gerenciador de pacotes NuGet, utilizando typosquats maliciosos da plataforma Nethereum, que integra o Ethereum com .NET. O pacote malicioso, denominado Netherеum.All, foi projetado para decodificar um ponto de controle e comando (C2) e exfiltrar frases mnemônicas, chaves privadas e dados de armazenamento de carteiras. O pacote foi carregado por um usuário chamado ’nethereumgroup’ em 16 de outubro de 2025 e removido quatro dias depois por violar os termos de uso do NuGet. O ataque se destaca pelo uso de um homoglyph cirílico que substitui a letra ’e’, enganando desenvolvedores desavisados. Além disso, os atacantes inflaram artificialmente as contagens de download, alegando 11,7 milhões de downloads, o que é um sinal de alerta, já que é improvável que uma nova biblioteca alcance tal número rapidamente. A principal funcionalidade maliciosa está em uma função chamada EIP70221TransactionService.Shuffle, que extrai dados sensíveis da carteira do usuário. Este incidente ressalta a vulnerabilidade do NuGet, que não impõe restrições rigorosas sobre esquemas de nomenclatura, ao contrário de outros repositórios de código aberto. Para mitigar riscos, os usuários devem verificar cuidadosamente as bibliotecas antes de baixá-las e monitorar o tráfego de rede anômalo.