Redazione RHC:10 novembro 2025 15:56
Os pesquisadores descobriram várias bibliotecas no registro público do NuGet contendo código que será ativado em 2027 e 2028. Os pacotes infectados têm como alvo três Mecanismos de armazenamento de dados .NET (Microsoft SQL Server, PostgreSQL e SQLite) , e um componente é especificamente disfarçado como uma biblioteca para trabalhar Controladores Siemens S7.
Os analistas de soquete encontraram nove pacotes postados pelo Shanhai666 conta. À primeira vista, as bibliotecas pareciam funcionar normalmente: quase todo o código ( cerca de 99% ) executaram funções úteis, então os desenvolvedores podem não ter notado nada suspeito. Contudo Cada biblioteca continha um pequeno pedaço de lógica maliciosa , um módulo de cerca de 20 linhas, embutidas em chamadas de aplicativo padrão.
A técnica de injeção depende de métodos de extensão C#. Essas extensões são executadas sempre que uma operação de banco de dados é chamada ou durante a interação do CLP, permitindo que o bloco malicioso seja inserido no fluxo de execução sem modificar as interfaces do aplicativo.
Internamente, a data do sistema é verificada: se estiver dentro de um intervalo estritamente definido ( 8 de agosto de 2027 a 29 de novembro de 2028) , um gerador de números aleatórios entre 1 e 100 é iniciado. Se o valor for superior a 80 (cerca de 20% do tempo), Process.GetCurrentProcess(). Matar () é chamado, o que encerra imediatamente o processo atual.
Para aplicativos e serviços de servidor com transações frequentes, esse comportamento resulta em falhas repentinas de serviço e interrupções no processamento de solicitações . Em sistemas industriais, lógica semelhante pode interromper a comunicação com o equipamento e desativar nós de controle críticos .
Um risco distinto é representado pelo Sharp7Extend pacote, que se disfarça como uma extensão do popular Sharp7 biblioteca, uma solução .NET para comunicação com PLCs Siemens S7. O invasor usou deliberadamente um nome semelhante, esperando que os desenvolvedores o encontrassem enquanto procuravam por ” Aprimoramentos ” para Sharp7 . Essa biblioteca de substituição implementa dois métodos de ataque diferentes.
O primeiro esquema envolve o encerramento imediato da sessão: quando uma função de transação é chamada, ocorre um encerramento forçado em 20% dos casos, interrompendo a comunicação com o controlador. Esta modalidade é válida até 6 de junho de 2028. O segundo esquema é mais complexo: o módulo tenta ler um valor de configuração inexistente, interrompendo a inicialização. Um filtro de gravação é então ativado e Um atraso artificial de 30 a 90 minutos é definido. Após o intervalo especificado, os parâmetros que estão sendo gravados que se enquadram no filtro têm uma probabilidade de 80% de serem corrompidos. As consequências são que atuadores não recebem comandos, Os pontos de ajuste não são atualizados, os sistemas de proteção falham e os parâmetros do processo permanecem inalterados ou assumem valores incorretos.
A combinação de Interrupção imediata do processo e danos retardados torna o ataque em vários estágios: primeiro, o monitoramento e a comunicação são interrompidos, depois um erro oculto é introduzido na lógica de controle, que depois se manifesta e Causa erros de segurança e processo.
No momento da publicação, os pesquisadores observaram que a conta shanhai666 inicialmente hospedava 12 pacotes, mas apenas nove incluíam a carga maliciosa . Após um download massivo (aproximadamente 9.500), essas contas e pacotes foram removidos do catálogo. No entanto, o risco permanece: Os projetos que já aceitaram essas dependências podem ser comprometidos quando os gatilhos são ativados.
Aqui estão algumas dicas práticas para equipes de desenvolvimento e operadores de redes industriais. Primeiro, revise imediatamente a lista de todas as dependências e verifique os seguintes pacotes: SqlUnicorn.Core, SqlDbRepository, SqlLiteRepository, SqlUnicornCoreTest, SqlUnicornCore, SqlRepository, MyDbRepository, MCDbRepository e Sharp7Extend .
Se uma correspondência for encontrada, desinstale o componente, reverta para uma compilação segura e restaure seus aplicativos de um backup verificado. Em segundo lugar, faça um inventário de seus downloads e compilações para garantir sua compilação O Toolchain não pegou nenhuma versão infectada.
Os autores do relatório enfatizam que os motivos e origens da campanha ainda são desconhecidos, mas a execução em si demonstra um ataque bem elaborado à cadeia de suprimentos de software. Um pequeno fragmento malicioso incorporado em bibliotecas confiáveis pode causar sérias interrupções na infraestrutura de TI e na produção industrial se medidas urgentes não forem tomadas para detectar e mitigar a ameaça.
Redação
A equipe editorial da Red Hot Cyber é composta por um grupo de indivíduos e fontes anônimas que colaboram ativamente para fornecer informações e notícias antecipadas sobre segurança cibernética e computação em geral.