⚠️ Work in Progress — Das Projekt wird aktiv weiterentwickelt. Die Kern-Scan-Engine wird neu aufgebaut
NuReaper ist eine .NET 8 Backend-API, die automatisch die Sicherheit von NuGet-Paketen analysiert. Sie geben einen Link zu einem beliebigen NuGet-Paket an, und das System lädt rekursiv den gesamten Abhängigkeitsbaum herunter, dekompiliert den kompilierten Code und durchsucht jede Methode nach schädlichen Mustern — und liefert einen detaillierten Bedrohungsbericht zurück.
🔍 Für nicht-technische Leser: Stellen Sie es sich so vor, als würden Sie eine App auf Ihrem Smartphone installieren. Zusammen mit ihr werden automatisch Dutzende kleinerer Bibliotheken installiert. NuReaper untersucht jede einzelne davon — indem es den tatsächlichen kompilierten Binärcode betrachtet — und erkennt, ob eine von ihnen versucht, sich mit verdächtigen Servern zu verbinden, versteckten Code auszuführen oder ihr wahres Verhalten zu verschleiern.
Senden Sie eine einzige HTTP-Anfrage mit einer NuGet-Paket-URL, und NuReaper wird:
.nupkg-Datei ab und berechnet ihren SHA-256-HashDie Engine analysiert Code auf der Ebene der IL-Anweisungen (Intermediate Language) und erkennt 7 Muster, die für Schadsoftware charakteristisch sind:
| # | Muster | Beschreibung |
|---|---|---|
| 1 | Direkter API-Aufruf | Verdächtiger String, der sofort in einem Netzwerkaufruf verwendet wird |
| 2 | String zugewiesen | URL einer Variablen zugewiesen und dann an einen Netzwerkaufruf übergeben |
| 3 | String-Konstruktion | URL durch Verkettung aufgebaut ("http://" + var + "/path") — Verschleierungstechnik |
| 4 | String-Interpolation | URL durch Interpolation zusammengesetzt ($"{part1}{part2}") |
| 5 | Char-Only-Interpolation | URL Zeichen für Zeichen aus einem Char-Array aufgebaut — fortgeschrittene Verschleierung |
| 6 | DefaultInterpolatedStringHandler | Low-Level-Interpolationsmechanismus, der verwendet wird, um Strings vor statischer Analyse zu verbergen |
| 7 | Bare API Calls | Direkte Netzwerkaufrufe ohne explizite Strings (TcpClient.Connect, Socket.Connect, Process.Start) |
Network: HttpClient, WebClient, DNS, TcpClient, WebSocket
Execution: Process.Start, Assembly.Load, Activator.CreateInstance
Low-level: DllImport, VirtualAlloc, CreateThread, NtCreateThreadEx
System: ManagementObjectSearcher (WMI)
String-based: Concatenation, CharArray, Interpolation, StringBuilder
Suspicious: URL, IP address, .onion address, Base64
Der Bewertungsalgorithmus berücksichtigt:
POST /api/PackageScanScannt das angegebene NuGet-Paket zusammen mit seinem vollständigen Abhängigkeitsbaum.
Anfrage:
{
"url": "https://www.nuget.org/packages/System.Net.Http/4.3.4"
}
Antwort:
{
"rootPackageName": "System.Net.Http",
"rootPackageVersion": "4.3.4",
"totalPackages": 12,
"totalFindingsFromAllPackages": 5,
"threatLevelAllPackages": 47.5,
"scannedTimeAllPackages": "2026-03-25T12:00:00Z",
"packages": [
{
"packageName": "System.Net.Http",
"version": "4.3.4",
"sha256Hash": "abc123...",
"threatLevel": 35.0,
"totalFindings": 3,
"findings": [
{
"type": "HttpClientCall",
"confidenceScore": 95.0,
"dangerLevel": 60.0,
"evidence": "http://example.com/payload",
"location": "MyClass::SendData",
"hopDepth": 0,
"flowTrace": "[Pattern1] Direct API call using string..."
}
]
}
],
"dependencyGraph": {
"rootPackage": "[email protected]",
"nodes": [...],
"edges": [...],
"cycles": [...]
}
}
Aufgebaut auf Clean Architecture mit strikter Trennung der Zuständigkeiten:
NuReaperBackend/
├── NuReaper.Api/ # API layer — controllers, middleware, startup
├── NuReaper.Application/ # Application layer — commands, interfaces, DTOs, validation
├── NuReaper.Domain/ # Domain core — entities, enums, abstractions
├── NuReaper.Infrastructure/ # Implementations — scanners, parsers, repositories
│ └── Repositories/
│ ├── Scanners/ # IL analysis engine
│ │ ├── Analysis/ # ScanModule, ScanMethod, NetworkApiCallScan
│ │ ├── Detectors/ # 7 pattern detectors (Pattern1–Pattern7)
│ │ ├── Patterns/ # PatternRegistry (regex: URL, IP, .onion, Base64)
│ │ ├── RiskCalculation/# Threat scoring algorithm
│ │ ├── Finders/ # Locating API calls within IL instructions
│ │ ├── VariableAnalysis/# Tracking variable values across IL
│ │ └── StringAnalysis/ # Reconstructing strings from fragments
│ ├── Parsers/ # .nuspec file parsing
│ ├── GraphBuilders/ # Dependency graph construction (BFS + recursion)
│ └── FileHelpers/ # Download, extract, SHA-256
└── Docker/
├── Dockerfile
└── docker-compose.yml
| Bereich | Technologie / Muster |
|---|---|
| Architektur | Clean Architecture |
| Kommunikation zwischen Schichten | CQRS + MediatR |
| IL-Code-Analyse | dnlib |
| Eingabevalidierung | FluentValidation + MediatR Pipeline Behavior |
| Objekt-Mapping | AutoMapper |
| Logging | Serilog (Konsole + rollierende Tagesdatei) |
| API-Dokumentation | Swagger / OpenAPI |
| Datenbank | Entity Framework Core + MySQL (Pomelo) |
| HTTP | IHttpClientFactory mit Connection Pooling |
| Containerisierung | Docker + Docker Compose |
| Tests | xUnit + Moq |
Package URL
│
▼
DependencyGraphBuilder ← builds dependency graph from .nuspec files
│ (recursion + BFS, cycle detection)
▼
List of unique packages
│
▼ (parallel, SemaphoreSlim — CPU-1 threads)
NetworkApiCallScan per package
├── DownloadPackageAsync ← fetches .nupkg
├── CalculateSha256 ← integrity verification
├── ExtractNupkgAsync ← unpacks the archive
└── GetAssemblyFiles ← lists .dll files
│
▼ (Parallel.ForEachAsync)
ScanModule (per .dll)
│
▼ (Parallel.ForEach — all types and methods)
ScanMethod (per method)
│
▼ (7 pattern detectors)
Pattern1..7 → FindingSummaryDto
│
▼
CalculateThreatLevel ← score 0–100
│
▼
ScanPackageResultResponse