### Detectan paquetes NuGet maliciosos que crean puertas traseras en aplicaciones ASP.NET

#### Introducción

En las últimas semanas, investigadores de ciberseguridad han identificado una campaña dirigida específicamente a desarrolladores de aplicaciones web ASP.NET. El vector de ataque: la publicación de paquetes NuGet maliciosos diseñados para comprometer la integridad de los proyectos, robar datos sensibles y establecer persistencia mediante la manipulación de reglas de autorización. Este incidente pone de manifiesto el creciente interés de los actores maliciosos en comprometer las cadenas de suministro software, afectando especialmente al ecosistema .NET y a los entornos empresariales que dependen de estas tecnologías.

#### Contexto del Incidente o Vulnerabilidad

El hallazgo fue realizado por el equipo de investigación de Socket, quienes detectaron cuatro paquetes NuGet publicados en el repositorio oficial utilizados comúnmente por desarrolladores ASP.NET. El objetivo principal de estos paquetes era la exfiltración de datos críticos almacenados a través del framework ASP.NET Identity, así como la alteración de la configuración de autorización para crear backdoors persistentes en las aplicaciones afectadas.

El ataque se inscribe en la tendencia creciente de supply chain attacks, similares a los incidentes recientes en ecosistemas como npm y PyPI, pero enfocados en el entorno Microsoft. El compromiso de paquetes de dependencias supone un riesgo crítico, ya que afecta a nivel de desarrollo y puede propagarse a entornos de producción sin ser detectado de inmediato.

#### Detalles Técnicos

Los paquetes maliciosos detectados han sido identificados bajo los siguientes nombres (IoC):

– `EntityFrameworkCore.Data`
– `AspNetCore.Identity.Extension`
– `Microsoft.AspNetCore.Authentication.Jwt`
– `NetCore.Encryption`

Estos paquetes se distribuían en el repositorio público de NuGet, aprovechando la confianza inherente en la marca y nomenclatura de Microsoft y la popularidad de las dependencias legítimas.

**Vectores de ataque y TTPs (MITRE ATT&CK):**

– **Initial Access (T1195):** Compromiso de la cadena de suministro mediante la publicación de paquetes NuGet falsificados.
– **Credential Access (T1555):** Robo de datos de autenticación y roles almacenados en ASP.NET Identity.
– **Persistence (T1546):** Manipulación de archivos de configuración (`appsettings.json`, reglas de autorización en `Startup.cs`) para establecer roles privilegiados o cuentas backdoor.
– **Exfiltration (T1041):** Envío encubierto de datos de identidad y permisos a servidores controlados por el atacante mediante solicitudes HTTP POST cifradas.

**CVE y Exploits conocidos:**

Por el momento, no se ha asignado un CVE específico a esta campaña, ya que la vulnerabilidad reside en la manipulación social y la publicación de paquetes maliciosos, no en un fallo de software concreto. No obstante, la campaña emplea técnicas de ofuscación de código y aprovecha la integración continua para maximizar el alcance.

**Frameworks usados:**

No se ha detectado el uso directo de frameworks comunes de explotación como Metasploit o Cobalt Strike, aunque los scripts de exfiltración presentan técnicas avanzadas de evasión y persistencia.

#### Impacto y Riesgos

El impacto potencial de la campaña es elevado:

– **Compromiso de credenciales:** Robo de cuentas, roles y asignaciones de permisos.
– **Persistencia no autorizada:** Creación de puertas traseras administrativas que sobrevivirán a reinicios y actualizaciones si no se detectan.
– **Propagación:** Las aplicaciones afectadas podrían ser desplegadas en producción, exponiendo datos de usuarios y activos críticos.
– **Cumplimiento normativo:** Incumplimiento de GDPR y NIS2 por exposición de datos personales y fallos de seguridad en la cadena de suministro.

Según estimaciones de Socket, hasta un 0,5% de los proyectos ASP.NET recientes podrían haber sido expuestos a alguno de estos paquetes antes de su retirada, lo que implicaría a miles de aplicaciones potencialmente vulnerables.

#### Medidas de Mitigación y Recomendaciones

– **Auditoría inmediata:** Revisar las dependencias NuGet en todos los proyectos y eliminar cualquier paquete sospechoso o no verificado.
– **Actualización de credenciales:** Rotar todas las claves y credenciales almacenadas en ASP.NET Identity tras la detección.
– **Hardening de configuración:** Revisar las reglas de autorización y roles en los archivos de configuración.
– **Monitorización de tráfico:** Implementar alertas ante posibles exfiltraciones de datos a dominios no autorizados.
– **Utilizar herramientas de análisis de dependencias:** Adoptar soluciones como OWASP Dependency-Check y escáneres específicos para NuGet.

#### Opinión de Expertos

Especialistas en ciberseguridad como Fernando Ramírez (CISO, SecureIT) advierten: “El ataque a la cadena de suministro es actualmente la técnica más eficaz para comprometer entornos empresariales, pues aprovecha la confianza y la falta de visibilidad en los ciclos de desarrollo. La revisión manual y la automatización de auditorías de dependencias deben ser una prioridad absoluta”.

#### Implicaciones para Empresas y Usuarios

Las organizaciones que desarrollan o despliegan aplicaciones ASP.NET deben reforzar sus políticas de gestión de dependencias y establecer controles más estrictos sobre los paquetes NuGet utilizados. Además, la exposición de datos bajo GDPR puede acarrear sanciones económicas significativas, y la NIS2 exige medidas proactivas en la mitigación de riesgos de la cadena de suministro.

#### Conclusiones

La campaña detectada contra desarrolladores ASP.NET a través de paquetes NuGet maliciosos constituye un serio recordatorio de la importancia de la seguridad en el ciclo de vida del software. La adopción de controles preventivos y de respuesta ante incidentes específicos para la cadena de suministro es ya una necesidad crítica para toda organización que desarrolle aplicaciones web en entornos .NET.

(Fuente: feeds.feedburner.com)