Οι ερευνητές ανακάλυψαν εννέα κακόβουλα πακέτα λογισμικού στην πλατφόρμα βιβλιοθηκών .NET «NuGet». Αυτά τα πακέτα φαίνονταν αρχικά ως επί το πλείστον ακίνδυνα (99% καθαρός κώδικας), αλλά ήταν κρυφά παγιδευμένα σαν «ωρολογιακές βόμβες» που είχαν ρυθμιστεί να ενεργοποιηθούν χρόνια αργότερα – συγκεκριμένα μεταξύ Αυγούστου 2027 και Νοεμβρίου 2028.
Τι θα συνέβαινε όταν θα ερχόταν η ώρα; Ο κακόβουλος κώδικας σχεδιάστηκε για να στοχεύει τόσο τη χρήση βάσεων δεδομένων (SQL Server, PostgreSQL, SQLite) όσο και συστήματα βιομηχανικού ελέγχου (Siemens S7 PLC). Σε ένα πακέτο με την ονομασία Sharp7Extend, ο κώδικας μπορούσε να προκαλέσει τυχαία συντριβή διεργασιών ή να αλλοιώσει εντολές που στέλνονταν σε μηχανήματα (για παράδειγμα, σε εργοστάσια ή επιχειρήσεις κοινής ωφέλειας) με μεγάλη πιθανότητα.
Πολλά συστήματα κρίσιμων υποδομών (εργοστάσια παραγωγής, ενέργειας, μεταφορών κ.λπ.) που βασίζονται σε βιβλιοθήκες .NET θα μπορούσαν να κινδυνεύσουν – αν αυτά τα πακέτα συμπεριληφθούν και αφεθούν ανεξέλεγκτα. Οι χρήστες και οι οργανισμοί καλούνται να ελέγξουν τα εγκατεστημένα πακέτα NuGet, να αφαιρέσουν αυτά τα κακόβουλα πακέτα και να επαληθεύσουν αμέσως τις Πηγές: της εφοδιαστικής τους αλυσίδας.
