Вирусные пакеты NuGet нацелились на службы NET и Siemens PLC

Все девять пакетов, выпущенные под одной учётной записью и скачанные около 9,500 раз до блокировки, выглядели безобидно — обычные .NET-библиотеки. Но в глубине кода исследователи нашли отложенные триггеры. После наступления заданной даты вредоносный код начинает изменять операции с базами данных, а в отдельных версиях — функции, связанные с програмируемыми логическими контролерами Siemens. При выполнении заражённого запроса существует около 20% вероятности, что приложение аварийно прекратит свою работу. Поскольку запуск отложен на несколько лет, компании, добавившие эти библиотеки в CI/CD-процессы или долгосрочные решения в 2024–2025 годах, могут даже не знать, что уже внедрили «спящий» бэкдор.

Атака основана на уязвимости самого процесса восстановления зависимостей NuGet в .NET. Разработчик добавляет безобидный на вид пакет, тот скачивается с nuget.org, кэшируется и при каждой сборке автоматически подгружается вместе с транзитивными зависимостями. Но в найденных вредоносных сборках присутствовал скрытый слой — логическая бомба с отложенным запуском, активирующаяся лишь по наступлении определённой даты и внедряющая разрушительные изменения в базу данных. По наблюдениям экспертов, некоторые из них использовали IL-weaving и post-restore-исполнение, как и в инцидентах цепочки поставок NuGet 2024 года, однако с более долгой задержкой — признак того, что злоумышленники стремились сделать код незаметным для аудиторов и тестовых окружений.

Риск охватывает всю цепочку сборки и деплоя. Любой build-agent/CI-runner, восстановивший заражённый NuGet-пакет, уже несёт в себе «логическую бомбу». В случае срабатывания триггера все сервисы, скомпилированные с этим пакетом, начнут испытывать краши и производить незаметные манипуляции с базой данных. На предприятиях это особенно опасно: .NET-система, связанная с промышленными контроллерами — например, Siemens S7-интеграции, столкнется с постоянными ошибками записи данных после 30–90-минутной задержки.

Так как в корпоративной среде .NET активно используется для backend-систем крипты, финтеха и DeFi, при добавлении к «бомбе» функционала утечки данных под угрозой окажутся конфиденциальные ключи и доступы: API-токены, точки управления кошельками, логины и пароли к БД. Аналитики отмечают, что выбор жертв точечный — пакеты нацелены на среду, где код живёт своей жизнью годами: агентные решения, корпоративные сервисы и технологические шлюзы.