⚠️ Lavori in Corso — Il progetto è in fase di sviluppo attivo. Il motore di scansione principale è in fase di ricostruzione
NuReaper è un'API backend .NET 8 che analizza automaticamente la sicurezza dei pacchetti NuGet. Fornisci un link a qualsiasi pacchetto NuGet e il sistema scarica ricorsivamente l'intero albero delle dipendenze, decompila il codice compilato e analizza ogni metodo alla ricerca di pattern malevoli — restituendo un report dettagliato delle minacce.
🔍 Per lettori non tecnici: Immagina di installare un'app sul tuo telefono. Insieme ad essa, vengono installate automaticamente decine di librerie più piccole. NuReaper ispeziona ognuna di esse — esaminando il codice binario compilato effettivo — e rileva se qualcuna di esse tenta di connettersi a server sospetti, eseguire codice nascosto o offuscare il proprio comportamento reale.
Invia una singola richiesta HTTP con l'URL di un pacchetto NuGet e NuReaper:
.nupkg e calcola il suo hash SHA-256Il motore analizza il codice a livello di istruzioni IL (Intermediate Language) e riconosce 7 pattern caratteristici del software malevolo:
| # | Pattern | Descrizione |
|---|---|---|
| 1 | Chiamata API Diretta | Stringa sospetta utilizzata immediatamente in una chiamata di rete |
| 2 | Stringa Assegnata | URL assegnato a una variabile, poi passato a una chiamata di rete |
| 3 | Costruzione di Stringa | URL costruito tramite concatenazione ("http://" + var + "/path") — tecnica di offuscamento |
| 4 | Interpolazione di Stringa | URL assemblato tramite interpolazione ($"{part1}{part2}") |
| 5 | Interpolazione Solo Caratteri | URL costruito carattere per carattere da un array di char — offuscamento avanzato |
| 6 | DefaultInterpolatedStringHandler | Meccanismo di interpolazione di basso livello utilizzato per nascondere le stringhe all'analisi statica |
| 7 | Chiamate API Bare | Chiamate di rete dirette senza stringhe esplicite (TcpClient.Connect, Socket.Connect, Process.Start) |
Network: HttpClient, WebClient, DNS, TcpClient, WebSocket
Execution: Process.Start, Assembly.Load, Activator.CreateInstance
Low-level: DllImport, VirtualAlloc, CreateThread, NtCreateThreadEx
System: ManagementObjectSearcher (WMI)
String-based: Concatenation, CharArray, Interpolation, StringBuilder
Suspicious: URL, IP address, .onion address, Base64
L'algoritmo di scoring tiene conto di:
POST /api/PackageScanAnalizza il pacchetto NuGet specificato insieme al suo intero albero delle dipendenze.
Richiesta:
{
"url": "https://www.nuget.org/packages/System.Net.Http/4.3.4"
}
Risposta:
{
"rootPackageName": "System.Net.Http",
"rootPackageVersion": "4.3.4",
"totalPackages": 12,
"totalFindingsFromAllPackages": 5,
"threatLevelAllPackages": 47.5,
"scannedTimeAllPackages": "2026-03-25T12:00:00Z",
"packages": [
{
"packageName": "System.Net.Http",
"version": "4.3.4",
"sha256Hash": "abc123...",
"threatLevel": 35.0,
"totalFindings": 3,
"findings": [
{
"type": "HttpClientCall",
"confidenceScore": 95.0,
"dangerLevel": 60.0,
"evidence": "http://example.com/payload",
"location": "MyClass::SendData",
"hopDepth": 0,
"flowTrace": "[Pattern1] Direct API call using string..."
}
]
}
],
"dependencyGraph": {
"rootPackage": "[email protected]",
"nodes": [...],
"edges": [...],
"cycles": [...]
}
}
Costruito su Clean Architecture con una rigorosa separazione delle responsabilità:
NuReaperBackend/
├── NuReaper.Api/ # API layer — controllers, middleware, startup
├── NuReaper.Application/ # Application layer — commands, interfaces, DTOs, validation
├── NuReaper.Domain/ # Domain core — entities, enums, abstractions
├── NuReaper.Infrastructure/ # Implementations — scanners, parsers, repositories
│ └── Repositories/
│ ├── Scanners/ # IL analysis engine
│ │ ├── Analysis/ # ScanModule, ScanMethod, NetworkApiCallScan
│ │ ├── Detectors/ # 7 pattern detectors (Pattern1–Pattern7)
│ │ ├── Patterns/ # PatternRegistry (regex: URL, IP, .onion, Base64)
│ │ ├── RiskCalculation/# Threat scoring algorithm
│ │ ├── Finders/ # Locating API calls within IL instructions
│ │ ├── VariableAnalysis/# Tracking variable values across IL
│ │ └── StringAnalysis/ # Reconstructing strings from fragments
│ ├── Parsers/ # .nuspec file parsing
│ ├── GraphBuilders/ # Dependency graph construction (BFS + recursion)
│ └── FileHelpers/ # Download, extract, SHA-256
└── Docker/
├── Dockerfile
└── docker-compose.yml
| Area | Tecnologia / Pattern |
|---|---|
| Architettura | Clean Architecture |
| Comunicazione inter-livello | CQRS + MediatR |
| Analisi del codice IL | dnlib |
| Validazione input | FluentValidation + MediatR Pipeline Behavior |
| Mapping oggetti | AutoMapper |
| Logging | Serilog (console + file giornaliero a rotazione) |
| Documentazione API | Swagger / OpenAPI |
| Database | Entity Framework Core + MySQL (Pomelo) |
| HTTP | IHttpClientFactory con connection pooling |
| Containerizzazione | Docker + Docker Compose |
| Testing | xUnit + Moq |
Package URL
│
▼
DependencyGraphBuilder ← builds dependency graph from .nuspec files
│ (recursion + BFS, cycle detection)
▼
List of unique packages
│
▼ (parallel, SemaphoreSlim — CPU-1 threads)
NetworkApiCallScan per package
├── DownloadPackageAsync ← fetches .nupkg
├── CalculateSha256 ← integrity verification
├── ExtractNupkgAsync ← unpacks the archive
└── GetAssemblyFiles ← lists .dll files
│
▼ (Parallel.ForEachAsync)
ScanModule (per .dll)
│
▼ (Parallel.ForEach — all types and methods)
ScanMethod (per method)
│
▼ (7 pattern detectors)
Pattern1..7 → FindingSummaryDto
│
▼
CalculateThreatLevel ← score 0–100
│
▼
ScanPackageResultResponse