Un ataque a la cadena de suministro dirigido a desarrolladores de ASP.NET ha salido a la luz, involucrando cuatro paquetes NuGet maliciosos diseñados para robar credenciales de inicio de sesión e instalar backdoors persistentes dentro de aplicaciones web.

Los paquetes — NCryptYo, DOMOAuth2_, IRAOAuth2.0 y SimpleWriter_ — fueron publicados entre el 12 y el 21 de agosto de 2024 por un actor de amenazas que opera bajo el nombre de usuario “hamzazaheer”, y juntos han acumulado más de 4.500 descargas.

El ataque comienza con un engaño deliberado. NCryptYo se hace pasar por una biblioteca de criptografía mediante typosquatting del paquete ampliamente utilizado NCrypto.

Su nombre de archivo DLL, NCrypt.dll, imita al proveedor de criptografía nativo de Windows CNG, y su espacio de nombres refleja las propias APIs de criptografía de Microsoft.

De manera crítica, el paquete ejecuta un constructor estático en el momento en que se carga el ensamblado —antes de que ningún desarrollador llame a un solo método— desplegando silenciosamente un proxy oculto en el puerto 7152 de localhost que redirige el tráfico a un servidor externo controlado por el atacante.

Investigadores de Socket.dev identificaron toda la campaña rastreando infraestructura compartida en los cuatro paquetes.

Señalaron que DOMOAuth2_, IRAOAuth2.0 y SimpleWriter_ contienen un token de autenticación idéntico en bytes, codificado con compresión GZip y sustituciones personalizadas de Base64, lo que confirma que fueron creados por el mismo operador.

Un análisis en VirusTotal mostró que solo 1 de 72 proveedores de seguridad detectó NCrypt.dll, revelando lo efectivo que es el ofuscamiento para mantener el malware oculto de las herramientas de detección estándar.

Una vez activos, DOMOAuth2_ e IRAOAuth2.0 recopilan silenciosamente datos de ASP.NET Identity —IDs de cuentas de usuario, asignaciones de roles y permisos— y los envían al servidor del atacante a través del proxy local.

SimpleWriter_, que se hace pasar por una herramienta de conversión de PDF, escribe archivos controlados por el atacante en el disco y ejecuta procesos ocultos sin ventana visible. El objetivo real no es solo la estación de trabajo del desarrollador, sino todas las aplicaciones de producción que eventualmente despliegue a los usuarios finales.

Hooking JIT: El mecanismo central de infección

NCryptYo utiliza una técnica llamada secuestro del compilador JIT para ocultar su verdadero comportamiento de los escáneres de seguridad.

El entorno de ejecución de .NET normalmente compila los métodos justo antes de ejecutarlos; este paquete reemplaza ese proceso con su propio hook, de modo que el código malicioso solo se descifra en el momento de la ejecución, haciéndolo invisible para el análisis estático.

La DLL está protegida por la ofuscación de .NET Reactor, con un temporizador de caducidad de 14 días y comprobaciones anti-depuración.

Cinco recursos cifrados están incrustados en su interior, siendo el más grande un payload de 126 KB responsable de construir el túnel proxy oculto hacia el servidor externo del atacante.

Los desarrolladores deben verificar los nombres de los paquetes, las identidades de los autores y los historiales de descargas antes de instalar cualquier biblioteca de terceros, y estar atentos al tráfico en puertos locales inusuales.

Los equipos de seguridad deben habilitar el escaneo automatizado en las pipelines de CI/CD para detectar marcadores de ofuscación, abuso de constructores estáticos y payloads cifrados incrustados antes de que cualquier paquete entre en un entorno de producción.