Trojan hóa gói NuGet giả mạo Newtonsoft.Json để can thiệp kết quả game
"Researchers found a trojanized NuGet typosquat, Newtonsoftt.Json.Net, that masquerades as Newtonsoft.Json while embedding game-rigging logic aimed at Digitain's FG-Crash backend. The malicious code activates only under specific conditions, exfiltrates rigged results to an attacker-controlled server, and does not include credential theft or persistence; mitigation includes removing the package, blocking the C2 address, and pinning a known-good Newtonsoft.Json version."
Tấn công chuỗi cung ứng nhắm mục tiêu cụ thể, có khả năng thay đổi tính toàn vẹn của kết quả game và exfiltrate dữ liệu đã bị thao túng; điểm đáng chú ý gồm kích hoạt theo DefaultSettings, chỉ vá phương thức trong FG-Crash, và gửi dữ liệu tới C2 cố định.
Rủi ro chủ yếu nằm ở tổn hại niềm tin và tính công bằng của dịch vụ game cá cược, đồng thời có thể gây gián đoạn điều tra do phạm vi kích hoạt hẹp; tác động vận hành phụ thuộc vào việc các hệ thống liên quan đã cài gói hay chưa.
Các nhà nghiên cứu phát hiện một typosquat NuGet có hành vi khác thường so với các mẫu phổ biến: gói "Newtonsoftt.Json.Net" giả mạo "Newtonsoft.Json" nhưng thực chất là fork bị trojan hóa. Gói này đã được đăng tải 7 phiên bản trên NuGet (11.0.4, 11.0.5, 11.0.7, 11.0.8, 11.0.9, 11.0.10, 11.0.11), với tổng lượt tải khoảng 1.200; đồng thời chủ sở hữu đã unlist gói để giảm khả năng người dùng tìm thấy, dù vẫn tải được từ registry.
Theo JFrog, mã độc chỉ kích hoạt trong điều kiện cụ thể: sau khi host gán JsonConvert.DefaultSettings, payload sẽ tìm và vá một phương thức tồn tại trong backend FG-Crash của Digitain. Khi thỏa điều kiện, hệ thống tạo độ trễ ngẫu nhiên để né phát hiện, sau đó exfiltrate kết quả vòng chơi đã bị “rig” tới máy chủ điều khiển bởi kẻ tấn công, dùng điểm đến cố định "185.126.237:5341" và giả lập dữ liệu telemetry; yêu cầu HTTP có header X-Seq-ApiKey.
Khuyến nghị: gỡ bỏ gói typosquat, chặn địa chỉ C2, và pin Newtonsoft.Json về phiên bản đã xác thực (ví dụ qua packages.lock.json). Digitain cho biết đã nhận thức và đang khắc phục, nhưng phạm vi phơi nhiễm chưa được làm rõ.