Вредоносный пакет NuGet с опечаткой в названии использовался для мошенничества с онлайн-ставками

С августа по октябрь 2025 года в репозитории NuGet был доступен пакет Newtonsoftt.Json.Net, имитирующий популярную библиотеку Newtonsoft.Json. Основной целью его создателей стала платформа онлайн-ставок Digitain и, в частности, игра на повышение коэффициента Crash. Пакет содержал вредоносный код, который незаметно для разработчиков подменял результаты игровых раундов, а затем передавал их злоумышленникам. Лишь двойная буква "t" в названии отличала его от оригинала.

Описание

Пакет был опубликован под видом законной библиотеки: в метаданных указывалось имя настоящего автора Newtonsoft.Json - Джеймса Ньютона-Кинга, ссылка на официальный сайт и лицензия MIT. Версия 11.0.x выглядела достаточно свежей, чтобы не вызывать подозрений, хотя реальная библиотека уже находилась на линейке 13.x. Внутри пакета находились три DLL-файла. Один из них был модифицированной версией самой библиотеки JSON, которая работала корректно для всех рутинных операций сериализации. Однако, как установили аналитики JFrog, в него был встроен скрытый триггер, запускавший вредоносную нагрузку. Дополнительные библиотеки содержали код для подмены игровых результатов и инструменты для изменения поведения приложений на лету.

Вредоносная нагрузка активировалась не сразу, а только после того, как в хост-приложении вызывалась одна из стандартных функций инициализации Newtonsoft.Json. Даже после этого запуск откладывался на время от десяти минут до суток. Так создатели избегали обнаружения: к моменту срабатывания вредоносного кода разработчики уже не следили за поведением программы, логи оставались чистыми, а само приложение продолжало работать без видимых сбоев.

Целью атаки был метод, отвечающий за генерацию коэффициента в игре Crash на платформе Digitain. Пакет подменял его так, чтобы в определённые раунды результат вычислялся не случайным образом, а по заранее заданным таблицам. Мошеннический алгоритм учитывал текущий месяц, день недели и номер недели в месяце. Особый сценарий действовал в 22:00 по UTC, что позволяло злоумышленникам реализовать отдельную стратегию ставок в этот час. Максимальное количество подменённых раундов было ограничено, чтобы не привлекать внимания к изменениям в общей статистике. В самых ранних версиях результаты подмены просто выводились в консоль - такой подход подходит для отладки на локальной машине, но не для удалённой атаки.

Всего было опубликовано семь версий пакета, которые прошли через три поколения развития. Первое поколение содержало только локальный код подмены без сетевой активности. Во втором появился механизм отправки подменённых результатов на управляющий сервер, но сам код был сильно запутан и использовал отражение для вызова сетевых функций, чтобы скрыть настоящую цель. Третье поколение упростило алгоритм подмены, сделав его более стабильным, а финальная версия вообще не содержала запутывания. Именно благодаря этому удалось восстановить адрес управляющего сервера и ключ доступа.

Для передачи данных злоумышленники маскировали трафик под обычную отправку журналов приложения. Они использовали API-ключ и формат сообщений, характерный для системы сбора логов Seq. Это позволяло вредоносным сетевым запросам выглядеть как легитимная телеметрия в организациях, которые уже применяют аналогичные инструменты.

Атака была направлена исключительно против Digitain. Все остальные разработчики, установившие пакет по ошибке, получали рабочую библиотеку JSON без каких-либо негативных последствий. Вредоносная функция активировалась только при наличии в приложении специфического внутреннего метода, принадлежащего игровому бэкенду Digitain. Таким образом, пакет не крал учётные данные, не перемещался по сети и не закреплялся в системе - его единственной задачей было искажение результатов игры.

Исследователи уведомили Digitain об инциденте в июле 2026 года. Компания подтвердила, что уже знала о проблеме и приняла меры для её решения. Тем не менее, остаётся неизвестным, выполнялся ли вредоносный код на производственных серверах и какие финансовые потери могли произойти.

Для защиты от подобных угроз рекомендуется тщательно проверять названия устанавливаемых пакетов, особенно если в них есть лишние символы. Стоит использовать блокировку исходящего трафика на подозрительные IP-адреса и вести строгий контроль зависимостей с помощью файлов блокировки версий. Пакет Newtonsoftt.Json.Net был скрыт автором из поиска, но его артефакты оставались доступны для загрузки, поэтому любые проекты, ссылавшиеся на него, необходимо очистить от подозрительных зависимостей и пересобрать заново.

Этот случай показывает, что даже единственная опечатка в названии библиотеки может привести к целенаправленному мошенничеству, если злоумышленник знает структуру кода жертвы. Вредоносное ПО, которое ведёт себя как обычная библиотека для большинства пользователей, остаётся незамеченным до тех пор, пока не встретит именно ту среду, для которой было создано.