[业内新闻动态] [【转载】] 恶意 NuGet 包攻击 ASP.NET 开发人员以窃取登录凭据

结论
恶意NuGet包通过供应链污染实现持久化后门部署，核心攻击链为：静态构造函数触发代理通道建立 → JIT编译器劫持规避静态检测 → 身份数据/文件写入窃取 → 生产环境横向扩散。攻击者利用.NET运行时特性（如程序集加载时构造函数执行顺序）实现零交互植入，需重点关注嵌入资源解密、跨进程注入和反调试逃逸机制。

L1攻击面识别（Source-Sink分析）

1. 源点（Source）
   • 恶意NuGet包的程序集加载阶段（静态构造函数触发）
   • JIT编译劫持点（恶意钩子替换.NET运行时方法编译流程）
2. 数据流（Flow）
   • 静态构造函数直接创建本地代理隧道（Sink：7152端口流量转发到C2）
   • 身份数据（ASP.NET用户凭证）通过代理通道外发（Sink：C2服务器接收敏感数据）
   • SimpleWriter_隐藏进程写入磁盘的恶意文件（Sink：持久化载荷落地）

L2假设与验证

验证假设：

• 嵌入资源中存在加密有效负载，解密后包含C2通信逻辑
• 静态构造函数包含网络连接逻辑
• JIT钩子导致恶意代码仅在运行时动态解密

验证步骤：

1. 反编译分析

   # 使用dnSpy反编译NCryptYo.dll，定位静态构造函数
   // 检查System.Net.Sockets相关初始化代码
   // 查找EmbeddedResource资源名（如"payload.bin"）

2. 资源解密

   # 提取嵌入的126KB资源，尝试GZip解压+Base64替换解码
   dotnet tool install --global ilspy
   ilspy NCrypt.dll --export=resources --output=res_dir

3. 动态监控

   # 启动带调试器的.NET进程，绕过反调试检查
   windbg -c ".loadby sos clr;!clrstack;g" -g your_app.exe
   // 观察7152端口连接及内存中动态解密的shellcode

L3边界/异常场景

1. 时间边界：
   • 14天过期计时器触发后包功能失效，需验证过期后payload是否仍残留
2. 环境边界：
   • 在虚拟机/沙箱中运行时，反调试逻辑会禁用代理，需构造模拟真实环境参数（如系统指纹伪造）
3. 代码执行边界：
   • 仅当ASP.NET Identity模块被调用时，DOMOAuth2_才会收集用户数据，需触发Identity认证流程验证数据外发

L4防御反推与修复

1. 检测增强：
   • 在CI/CD中强制执行.NET程序集检查：

     # 使用`dotnet-assembler`扫描静态构造函数中的网络操作  
     dotnet run --project scanner.csproj --target NCryptYo.dll --check:static_ctor/tcp  

   • 监控System.Reflection.Emit和System.Runtime.CompilerServices相关API调用（JIT劫持特征）
2. 防御绕过：
   • 部署.NET运行时保护模块（如Census或自研hook检测工具），拦截非法JIT替换
   • 在生产环境禁用NCrypt.dll依赖项的Reflection.Emit功能：

     <!-- app.config -->
     <runtime>
       <NetFx40_LegacySecurityPolicy enabled="true"/>
     </runtime>

3. 修复路径：
   • 强制更新被污染的NuGet包命名空间（如替换为合法NCrypto包）
   • 在应用层拦截7152端口出站流量，结合YARA规则匹配硬编码令牌：

     rule Malicious_NuGet {
       strings:
         $a = "GZipCompressedBase64Tok3n" nocase
       condition:
         $a in (0..1024KB)
     }

最小可执行验证步骤

若需快速验证本地项目是否受影响：

1. 查找bin目录下是否存在NCrypt.dll的静态构造函数调用
2. 执行netstat -ano | findstr 7152确认异常端口占用
3. 检查SimpleWriter_包是否存在未声明的System.IO.File.WriteAllText调用路径