誤った表記でゲーム結果を操作するトロイの木馬、NuGetで発見

セキュリティ研究者は、NuGetリポジトリに「Newtonsoftt.Json.Net」という名前で公開された、本物のライブラリを模倣するトロイの木馬パッケージを発見した。このパッケージは、DigitainのFG-Crashゲームバックエンドを動かすシステムでのみ活性化し、ゲーム結果を操作してデータを特定のサーバーに送信する。他の開発者にとっては通常のライブラリとして動作し、攻撃の発見を難しくしている。

パッケージの7つのバージョンが2025年8月から10月の間に公開された。各バージョンでは、悪意あるコードの隠蔽方法とデータ送信の手段が変更された。初期バージョンはローカルな操作に限定されていたが、後続バージョンではリフレクションやコードの難読化技術を使ってデータ送信機能を隠した。最終バージョンは完全に明示的な形で公開され、おそらく誤ってビルドされた構成だったと推測される。

悪意あるコードは、JsonConvert.DefaultSettingsプロパティに代入が行われたときに起動し、ターゲットシステムの特定のメソッドを改変する。この攻撃は認証情報の盗難やネットワーク内移動を目的としておらず、唯一の目的はゲームの公正性を損なうことだ。Digitainはこの問題を認識し、対応措置を講じているが、影響の範囲はまだ不明である。