Die nächste Supply-Chain-Welle rollt durch die NuGet-Welt: Bösartige Versionen 2.0.0 bis 2.0.4 des Pakets Sicoob.Sdk exfiltrieren PFX-Zertifikate aus Banking-Setups — und wurden trotz Spezial-Zielgruppe rund 500-mal heruntergeladen.
WAS DIE PAKETE TUN: PFX-Klau direkt aus dem Build
Die Schadversionen scannen die Build- und Laufzeit-Umgebung nach PFX-Zertifikatsdateien — der Format-Standard für Banking-Operationen in der lateinamerikanischen Sicoob-Welt. Gefundene Zertifikate werden an Server der Angreifer geschickt. Wer sie produktiv eingesetzt hat, sollte davon ausgehen, dass private Schlüssel kompromittiert sind.
WARUM DAS GEFÄHRLICH IST: 500 Downloads klingt wenig
500 Downloads sind in der NuGet-Statistik nichts — aber jedes Banking-Zertifikat kann Millionenschäden auslösen. Supply-Chain-Attacken werden zunehmend nischig: Statt 100.000 Downloads abzugreifen, jagen Angreifer gezielt Branchen, in denen ein einzelnes Opfer den Aufwand wert ist.
WAS DU JETZT TUN MUSST: Drei-Schritt-Plan
Schritt 1: dotnet list package in allen Projekten — Sicoob.Sdk in den Versionen 2.0.0 bis 2.0.4 suchen. Schritt 2: Bei Treffer Paket deinstallieren und auf eine geprüfte Version downgraden. Schritt 3: Sämtliche PFX-Bank-Zertifikate rotieren, die auf einem Build-Host mit den Schadpaketen lagen — und die Bank informieren.
DER GROSSE TREND: Supply-Chain als Hauptangriffsweg
2026 ist das Jahr der Supply-Chain-Angriffe: PyPI mit Mini Shai-Hulud, npm mit verschiedenen Wellen, jetzt NuGet mit Sicoob.Sdk. Wer kein Software-Bill-of-Materials (SBOM) pflegt und keine Dependency-Pinning betreibt, ist Freiwild.
EXTRA-TIPP: NuGet-Signaturen aktiv prüfen
Nutze nuget verify -All in deinen Build-Pipelines. Wer Paket-Quellen ausschließlich auf vertrauenswürdige Feeds (z. B. ein eigenes Azure Artifacts oder einen ProGet-Proxy) beschränkt, reduziert die Angriffsfläche drastisch.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob ich betroffen bin?
dotnet list package --include-transitive Sicoob.Sdk suchen und die Version prüfen. Wer das in CI/CD eingebunden hat, sollte zusätzlich die Build-Logs der letzten Wochen durchsehen.