NuReaper — NuGet パッケージセキュリティスキャナー

⚠️ 作業中 — このプロジェクトは活発に開発されています。コアスキャンエンジンは再構築中です

NuReaper は、NuGet パッケージのセキュリティを自動的に分析する .NET 8 バックエンド API です。任意の NuGet パッケージへのリンクを提供すると、システムはその依存関係ツリー全体を再帰的にダウンロードし、コンパイル済みコードを逆コンパイルし、すべてのメソッドを悪意のあるパターンについてスキャンして、詳細な脅威レポートを返します。

🔍 非技術者向け: スマートフォンにアプリをインストールすることを想像してください。それと同時に、数十の小さなライブラリが自動的にインストールされます。NuReaper はそれらすべてを検査し、実際のコンパイル済みバイナリコードを調べて、疑わしいサーバーへの接続、隠されたコードの実行、または真の動作を難読化しようとするものがあるかどうかを検出します。

🎯 NuReaper は何をするのか？

NuGet パッケージの URL を含む単一の HTTP リクエストを送信すると、NuReaper は以下を実行します：

完全な依存関係ツリーを構築 — ターゲットが依存するすべてのパッケージを再帰的に取得してマッピングします（最大 20 レベルまで）。その過程で循環依存関係を検出します
各パッケージをダウンロードして検証 — .nupkg ファイルを取得し、その SHA-256 ハッシュを計算します
コンパイル済み IL コードを分析 — .NET アセンブリを逆コンパイルし、すべてのクラスのすべてのメソッドを疑わしいパターンについてスキャンします
脅威レベルをスコアリング — 検出されたパターン、検出数、種類の多様性、信頼スコア、難読化の深さに基づきます
完全なレポートを返す — パッケージごとの検出結果、コードフロートレース、完全な依存関係グラフを含みます

🔬 検出される悪意のあるコードパターン

エンジンは IL（Intermediate Language）命令レベルでコードを分析し、悪意のあるソフトウェアに特徴的な 7 つのパターンを認識します：

#	パターン	説明
1	直接 API 呼び出し	疑わしい文字列がネットワーク呼び出しで即座に使用される
2	文字列の代入	URL が変数に代入され、その後ネットワーク呼び出しに渡される
3	文字列の構築	連結によって URL が構築される（`"http://" + var + "/path"`）— 難読化手法
4	文字列補間	補間によって URL が組み立てられる（`$"{part1}{part2}"`）
5	文字のみの補間	char 配列から 1 文字ずつ URL が構築される — 高度な難読化
6	DefaultInterpolatedStringHandler	静的解析から文字列を隠すために使用される低レベル補間メカニズム
7	ベア API 呼び出し	明示的な文字列なしの直接ネットワーク呼び出し（`TcpClient.Connect`、`Socket.Connect`、`Process.Start`）

検出される脅威の種類

Network:      HttpClient, WebClient, DNS, TcpClient, WebSocket
Execution:    Process.Start, Assembly.Load, Activator.CreateInstance
Low-level:    DllImport, VirtualAlloc, CreateThread, NtCreateThreadEx
System:       ManagementObjectSearcher (WMI)
String-based: Concatenation, CharArray, Interpolation, StringBuilder
Suspicious:   URL, IP address, .onion address, Base64

脅威レベルスコア（0～100）

スコアリングアルゴリズムは以下を考慮します：

単一の検出結果の最大危険レベル
検出結果の総数（最大 +30 点）
検出された脅威タイプの多様性（最大 +15 点）
検出結果全体の平均信頼スコア（90% 超の場合 +5 点）
難読化の存在 — マルチホップ文字列構築（+10 点）

📡 API

`POST /api/PackageScan`

指定された NuGet パッケージをその完全な依存関係ツリーとともにスキャンします。

リクエスト:

{
  "url": "https://www.nuget.org/packages/System.Net.Http/4.3.4"
}

レスポンス:

{
  "rootPackageName": "System.Net.Http",
  "rootPackageVersion": "4.3.4",
  "totalPackages": 12,
  "totalFindingsFromAllPackages": 5,
  "threatLevelAllPackages": 47.5,
  "scannedTimeAllPackages": "2026-03-25T12:00:00Z",
  "packages": [
    {
      "packageName": "System.Net.Http",
      "version": "4.3.4",
      "sha256Hash": "abc123...",
      "threatLevel": 35.0,
      "totalFindings": 3,
      "findings": [
        {
          "type": "HttpClientCall",
          "confidenceScore": 95.0,
          "dangerLevel": 60.0,
          "evidence": "http://example.com/payload",
          "location": "MyClass::SendData",
          "hopDepth": 0,
          "flowTrace": "[Pattern1] Direct API call using string..."
        }
      ]
    }
  ],
  "dependencyGraph": {
    "rootPackage": "[email protected]",
    "nodes": [...],
    "edges": [...],
    "cycles": [...]
  }
}

🏗️ アーキテクチャ

クリーンアーキテクチャに基づいて構築され、関心の分離を厳格に守っています：

NuReaperBackend/
├── NuReaper.Api/               # API layer — controllers, middleware, startup
├── NuReaper.Application/       # Application layer — commands, interfaces, DTOs, validation
├── NuReaper.Domain/            # Domain core — entities, enums, abstractions
├── NuReaper.Infrastructure/    # Implementations — scanners, parsers, repositories
│   └── Repositories/
│       ├── Scanners/           # IL analysis engine
│       │   ├── Analysis/       # ScanModule, ScanMethod, NetworkApiCallScan
│       │   ├── Detectors/      # 7 pattern detectors (Pattern1–Pattern7)
│       │   ├── Patterns/       # PatternRegistry (regex: URL, IP, .onion, Base64)
│       │   ├── RiskCalculation/# Threat scoring algorithm
│       │   ├── Finders/        # Locating API calls within IL instructions
│       │   ├── VariableAnalysis/# Tracking variable values across IL
│       │   └── StringAnalysis/ # Reconstructing strings from fragments
│       ├── Parsers/            # .nuspec file parsing
│       ├── GraphBuilders/      # Dependency graph construction (BFS + recursion)
│       └── FileHelpers/        # Download, extract, SHA-256
└── Docker/
    ├── Dockerfile
    └── docker-compose.yml

スタックとパターン

領域	技術 / パターン
アーキテクチャ	クリーンアーキテクチャ
層間通信	CQRS + MediatR
IL コード分析	dnlib
入力検証	FluentValidation + MediatR Pipeline Behavior
オブジェクトマッピング	AutoMapper
ログ	Serilog（コンソール + 日次ローリングファイル）
API ドキュメント	Swagger / OpenAPI
データベース	Entity Framework Core + MySQL (Pomelo)
HTTP	IHttpClientFactory（接続プーリング付き）
コンテナ化	Docker + Docker Compose
テスト	xUnit + Moq

⚙️ スキャンエンジンの仕組み

Package URL
    │
    ▼
DependencyGraphBuilder          ← builds dependency graph from .nuspec files
    │  (recursion + BFS, cycle detection)
    ▼
List of unique packages
    │
    ▼  (parallel, SemaphoreSlim — CPU-1 threads)
NetworkApiCallScan per package
    ├── DownloadPackageAsync     ← fetches .nupkg
    ├── CalculateSha256          ← integrity verification
    ├── ExtractNupkgAsync        ← unpacks the archive
    └── GetAssemblyFiles         ← lists .dll files
            │
            ▼  (Parallel.ForEachAsync)
        ScanModule (per .dll)
            │
            ▼  (Parallel.ForEach — all types and methods)
        ScanMethod (per method)
            │
            ▼  (7 pattern detectors)
        Pattern1..7 → FindingSummaryDto
            │
            ▼
    CalculateThreatLevel         ← score 0–100
    │
    ▼
ScanPackageResultResponse

📦 主要な依存関係

パッケージ	目的
`dnlib`	.NET IL の逆コンパイルと分析
`MediatR`	CQRS — コマンド/クエリパイプライン
`FluentValidation`	リクエスト検証
`AutoMapper`	層をまたぐオブジェクトマッピング
`Serilog`	構造化ログ
`Pomelo.EntityFrameworkCore.MySql`	MySQL ORM
`Swashbuckle.AspNetCore`	Swagger UI
`xUnit` + `Moq`	ユニットテスト

📄 ライセンス

このプロジェクトは PolyForm Noncommercial License 1.0.0 の下で利用可能であり、商用利用は禁止されています。商用ライセンスまたはお問い合わせについては、[email protected] までご連絡ください

NuReaper

人気