Alerta: Indicadores de socket para paquetes NuGet maliciosos programados para activarse en 2027 y 2028
Los desarrolladores deben estar atentos: sistemas de detección de paquetes NuGet comprometidos están programados para activarse dentro de 2-3 años.
¿Por qué esperar tanto? Mientras tanto, los actores maliciosos podrían estar festejando con margaritas financiadas por sus víctimas.
La demora en los controles de seguridad contrasta con la velocidad con la que los estafadores drenan carteras digitales. Ironías del ecosistema tecnológico.
9 amenazas ocultas de NuGet en código legítimo
Los nueve identificados los dent procesos.
La investigación de Socket planteó que la base de datos podría ser vulnerable a un ataque de doble propósito a la cadena de suministro, que amenazaría el desarrollo de software y las operaciones de infraestructura crítica.
Pandya acuñó el término Sharp7Extend como el más peligroso de los paquetes maliciosos , siendo una typosquating de la implementación legítima de la biblioteca Sharp7 para .NET, utilizada para comunicarse con los controladores lógicos programables Siemens S7.
Agregar «Extend» al nombre de confianza podría facilitar la instalacióndentde código malicioso por parte de ingenieros de automatización que buscan mejoras para Sharp7. El paquete incluye la biblioteca completa de Sharp7 sin modificar junto con su carga útil maliciosa. Durante las pruebas, la comunicación estándar del PLC puede parecer funcionar correctamente, pero el malware integrado está oculto.
“Sharp7Extend ataca los PLC industriales con mecanismos de sabotaje duales: terminación aleatoria inmediata del proceso y fallos de escritura silenciosos que comienzan entre 30 y 90 minutos después de la instalación”, dijo el investigador de seguridad.
Los paquetes maliciosos utilizan métodos de extensión de C# para añadir código peligroso a las operaciones de bases de datos y PLC sin modificar el código original. En el caso de los paquetes de bases de datos, se añade un método `.Exec()` a los tipos de comandos, mientras que Sharp7Extend añade un método `.BeginTran()` a los objetos `S7Client`.
Las extensiones se ejecutanmaticcada vez que una aplicación realiza una acción o consulta en el PLC. Tras la fecha de activación, el malware genera un número aleatorio entre 1 y 100.
Si el número supera 80, lo cual ocurre con un 20% de probabilidad, el paquete finaliza inmediatamente el proceso en ejecución mediante `Process.GetCurrentProcess().Kill()`. La finalización abrupta se produce sin advertencias ni entradas en el registro que pudieran confundirse con inestabilidad de la red, fallos de hardware u otros errores del sistema aparentemente insignificantes.
Sharp7Extend también implementa la protección contra la corrupción de escritura mediante un temporizador que establece un período de gracia de 30 a 90 minutos. Tras este período, un método de filtrado llamado ResFliter.filter() comienza a generar silenciosamente fallos en las operaciones de escritura en el 80 % de los casos.
Los métodos afectados incluyen WriteDBSingleByte, WriteDBSingleInt y WriteDBSingleDInt. Las operaciones parecen completarse correctamente, aunque en realidad no se escriben datos en el PLC.
Temporizador configurado de agosto de 2027 a noviembre de 2028
El informe de seguridad de sockets indicó que ciertos paquetes centrados en bases de datos en la encrucijada de la campaña, incluido MCDbRepository, están programados para ejecutar su carga útil el 8 de agosto de 2027. Es probable que SqlUnicornCore y SqlUnicornCoreTest se activen el 29 de noviembre de 2028.
“Este enfoque escalonado le da al atacante un margen de tiempo mayor para captar víctimas antes de que se active el malware de activación retardada, al tiempo que interrumpe de inmediato los sistemas de control industrial”, explicó Pandya.
La investigación de Socket descubrió que el nombre “shanhai666” y partes del código fuente son de origen chino.
En septiembre, analistas de ciberseguridad descubrieron código en servidores de Microsoft Internet Information Services (IIS) que había estado explotando vulnerabilidades desde 2003. La operación involucra módulos maliciosos de IIS utilizados para la ejecución remota de comandos y el fraude de optimización de motores de búsqueda (SEO).
Obtén $50 gratis para operar con criptomonedas al registrarte en Bybit ahora
