9 个恶意 NuGet 软件包被发现隐藏，定于 2027–2028 年引爆

两年前，一个名为 “shanhai666” 的账户上传了九个恶意 NuGet 软件包。这引发了一场复杂的软件供应链攻击。

根据供应链安全公司 Socket 的说法，这些软件包已被累计下载 9,488 次。此外，特定触发器已设定在 2027 年 8 月和 2028 年 11 月。

Socket 团队成员 Kush Pandya 发现了发布总共 12 个软件包的活动背后的威胁行为者。其中九个软件包包含有害例程，而三个是完全功能的实现，将其余部分伪装成“可信”。 

Pandya 认为，黑客利用合法库与恶意库相结合，诱骗开发者安装这些软件包，而在常规测试中未检测到异常。

“合法功能掩盖了隐藏在数千行合法代码中的约 20 行恶意有效载荷，并延迟了发现，因为即使激活后，崩溃也表现为随机错误，而不是系统性攻击，”他在 11 月 6 日的报告中写道。

9 合法代码中隐藏的 NuGet 威胁

九个 已识别 恶意软件包可能影响 .NET 应用程序中使用的三大主要数据库提供商：Microsoft SQL Server、PostgreSQL 和 SQLite。其中一个软件包 Sharp7Extend 专门针对用于制造和流程自动化的工业 PLC。

Socket 的研究提出，该数据库可能容易受到双重用途的供应链攻击，威胁软件开发和关键基础设施运营。

Pandya 将软件包 Sharp7Extend 列为最危险的 恶意软件包，它是用于与西门子 S7 可编程逻辑控制器通信的合法 Sharp7 库 .NET 实现的拼写错误模仿。

在受信任的名称后附加 “Extend” 可能有助于恶意软件包通过搜索 Sharp7 改进的自动化工程师“意外”安装代码。该软件包捆绑了完整的未修改 Sharp7 库及其恶意有效载荷。标准 PLC 通信在测试期间可能看起来正常运行，但嵌入式恶意软件被掩盖。 

“Sharp7Extend 针对工业 PLC 实施双重破坏机制：立即随机进程终止和安装后 30-90 分钟开始的静默写入失败，”安全研究人员说。

恶意软件包使用 C# 扩展方法向数据库和 PLC 操作添加危险代码，而不更改原始代码。对于数据库软件包，向命令类型添加 .Exec() 方法，而 Sharp7Extend 向 S7Client 对象添加 .BeginTran() 方法。 

每次应用程序执行 PLC 操作或查询时，扩展都会自动运行。触发日期过后，恶意软件会在 1 到 100 之间生成一个随机数。

如果该数字超过 80（实际发生的概率为 20%），软件包将立即使用 Process.GetCurrentProcess().Kill() 杀死正在运行的进程。随后发生突然终止，没有警告或日志条目，这可能看起来像网络不稳定、硬件故障或其他“非警报”系统错误。

Sharp7Extend 还通过设置 30–90 分钟宽限期的计时器实施延迟写入损坏。宽限期过后，名为 ResFliter.fliter() 的过滤器方法开始静默失败 80% 的写入操作。 

受影响的方法包括 WriteDBSingleByte、WriteDBSingleInt 和 WriteDBSingleDInt。操作看似成功，但数据实际上未写入 PLC。

计时器设定在 2027 月至 2028 月

Socket 安全报告显示，该活动十字路口中某些专注于数据库的软件包，包括 MCDbRepository，计划于 2027 年 8 月 8 日执行其有效载荷。SqlUnicornCore 和 SqlUnicornCoreTest 可能在 2028 年 11 月 29 日激活。

“这种分阶段的方法给威胁行为者更长的时间来收集受害者，然后再触发延迟激活的恶意软件，同时立即破坏工业控制系统，”Pandya 解释道。

Socket 的调查发现，名称 “shanhai666” 和部分源代码源自中国。

9 月，网络安全分析师在 Microsoft Internet Information Services (IIS) 服务器上发现了自 2003 年以来一直 利用漏洞 的代码。该行动涉及用于远程命令执行和搜索引擎优化 (SEO) 欺诈的恶意 IIS 模块。