⚠️ В разработке — Проект активно развивается. Ядро сканирования перестраивается
NuReaper — это backend API на .NET 8, который автоматически анализирует безопасность пакетов NuGet. Вы передаёте ссылку на любой пакет NuGet, а система рекурсивно скачивает всё дерево его зависимостей, декомпилирует скомпилированный код и сканирует каждый метод на наличие вредоносных паттернов — возвращая подробный отчёт об угрозах.
🔍 Для нетехнических читателей: Представьте, что вы устанавливаете приложение на телефон. Вместе с ним автоматически устанавливаются десятки меньших библиотек. NuReaper проверяет каждую из них — изучая фактический скомпилированный бинарный код — и определяет, пытается ли какая-либо из них подключиться к подозрительным серверам, выполнить скрытый код или замаскировать своё истинное поведение.
Отправьте один HTTP-запрос с URL пакета NuGet, и NuReaper:
.nupkg и вычисляет его хеш SHA-256Движок анализирует код на уровне инструкций IL (Intermediate Language) и распознаёт 7 паттернов, характерных для вредоносного ПО:
| # | Паттерн | Описание |
|---|---|---|
| 1 | Прямой вызов API | Подозрительная строка немедленно используется в сетевом вызове |
| 2 | Присвоение строки | URL присваивается переменной, затем передаётся в сетевой вызов |
| 3 | Конструирование строки | URL строится путём конкатенации ("http://" + var + "/path") — техника обфускации |
| 4 | Интерполяция строк | URL собирается через интерполяцию ($"{part1}{part2}") |
| 5 | Интерполяция только из символов | URL строится посимвольно из массива символов — продвинутая обфускация |
| 6 | DefaultInterpolatedStringHandler | Низкоуровневый механизм интерполяции, используемый для сокрытия строк от статического анализа |
| 7 | Голые вызовы API | Прямые сетевые вызовы без явных строк (TcpClient.Connect, Socket.Connect, Process.Start) |
Network: HttpClient, WebClient, DNS, TcpClient, WebSocket
Execution: Process.Start, Assembly.Load, Activator.CreateInstance
Low-level: DllImport, VirtualAlloc, CreateThread, NtCreateThreadEx
System: ManagementObjectSearcher (WMI)
String-based: Concatenation, CharArray, Interpolation, StringBuilder
Suspicious: URL, IP address, .onion address, Base64
Алгоритм оценки учитывает:
POST /api/PackageScanСканирует указанный пакет NuGet вместе со всем деревом его зависимостей.
Запрос:
{
"url": "https://www.nuget.org/packages/System.Net.Http/4.3.4"
}
Ответ:
{
"rootPackageName": "System.Net.Http",
"rootPackageVersion": "4.3.4",
"totalPackages": 12,
"totalFindingsFromAllPackages": 5,
"threatLevelAllPackages": 47.5,
"scannedTimeAllPackages": "2026-03-25T12:00:00Z",
"packages": [
{
"packageName": "System.Net.Http",
"version": "4.3.4",
"sha256Hash": "abc123...",
"threatLevel": 35.0,
"totalFindings": 3,
"findings": [
{
"type": "HttpClientCall",
"confidenceScore": 95.0,
"dangerLevel": 60.0,
"evidence": "http://example.com/payload",
"location": "MyClass::SendData",
"hopDepth": 0,
"flowTrace": "[Pattern1] Direct API call using string..."
}
]
}
],
"dependencyGraph": {
"rootPackage": "[email protected]",
"nodes": [...],
"edges": [...],
"cycles": [...]
}
}
Построен на Clean Architecture со строгим разделением ответственности:
NuReaperBackend/
├── NuReaper.Api/ # API layer — controllers, middleware, startup
├── NuReaper.Application/ # Application layer — commands, interfaces, DTOs, validation
├── NuReaper.Domain/ # Domain core — entities, enums, abstractions
├── NuReaper.Infrastructure/ # Implementations — scanners, parsers, repositories
│ └── Repositories/
│ ├── Scanners/ # IL analysis engine
│ │ ├── Analysis/ # ScanModule, ScanMethod, NetworkApiCallScan
│ │ ├── Detectors/ # 7 pattern detectors (Pattern1–Pattern7)
│ │ ├── Patterns/ # PatternRegistry (regex: URL, IP, .onion, Base64)
│ │ ├── RiskCalculation/# Threat scoring algorithm
│ │ ├── Finders/ # Locating API calls within IL instructions
│ │ ├── VariableAnalysis/# Tracking variable values across IL
│ │ └── StringAnalysis/ # Reconstructing strings from fragments
│ ├── Parsers/ # .nuspec file parsing
│ ├── GraphBuilders/ # Dependency graph construction (BFS + recursion)
│ └── FileHelpers/ # Download, extract, SHA-256
└── Docker/
├── Dockerfile
└── docker-compose.yml
| Область | Технология / Паттерн |
|---|---|
| Архитектура | Clean Architecture |
| Межслойное взаимодействие | CQRS + MediatR |
| Анализ IL-кода | dnlib |
| Валидация входных данных | FluentValidation + MediatR Pipeline Behavior |
| Маппинг объектов | AutoMapper |
| Логирование | Serilog (консоль + ежедневный ротационный файл) |
| Документация API | Swagger / OpenAPI |
| База данных | Entity Framework Core + MySQL (Pomelo) |
| HTTP | IHttpClientFactory с пулом соединений |
| Контейнеризация | Docker + Docker Compose |
| Тестирование | xUnit + Moq |
Package URL
│
▼
DependencyGraphBuilder ← builds dependency graph from .nuspec files
│ (recursion + BFS, cycle detection)
▼
List of unique packages
│
▼ (parallel, SemaphoreSlim — CPU-1 threads)
NetworkApiCallScan per package
├── DownloadPackageAsync ← fetches .nupkg
├── CalculateSha256 ← integrity verification
├── ExtractNupkgAsync ← unpacks the archive
└── GetAssemblyFiles ← lists .dll files
│
▼ (Parallel.ForEachAsync)
ScanModule (per .dll)
│
▼ (Parallel.ForEach — all types and methods)
ScanMethod (per method)
│
▼ (7 pattern detectors)
Pattern1..7 → FindingSummaryDto
│
▼
CalculateThreatLevel ← score 0–100
│
▼
ScanPackageResultResponse
| Пакет | Назначение |
|---|---|
dnlib | Декомпиляция и анализ .NET IL |
MediatR | CQRS — конвейер команд/запросов |
FluentValidation | Валидация запросов |
AutoMapper | Межслойный маппинг объектов |
Serilog | Структурированное логирование |
Pomelo.EntityFrameworkCore.MySql | ORM для MySQL |
Swashbuckle.AspNetCore | Swagger UI |
xUnit + Moq | Модульное тестирование |