2026年7月3日、Braintree公式.NETクライアントを装った悪意あるNuGetパッケージが公開され、Socketの自動検知システムはわずか10分で潜在的なマルウェアとしてラベル付けしました。
Braintree.Netという紛らわしい名称で公開されたこのパッケージは、PayPal Braintreeの正規SDK APIを巧妙に模倣したタイポスクワット型パッケージで、内部にはカード情報全体や加盟店の認証情報、ホスト上のシークレットを収集するために設計された多段階の.NETインプラントが仕込まれています。
Socket Threat Research チームによる追加分析では、アセンブリのロード時や実際の決済処理の実行時に発動する複数のサイレント外部送信経路が明らかになっており、窃取したデータは攻撃者が管理するインフラ(api.348672-shakepay[.]com)へ送信されます。
一見すると、Braintree.Netは実際のBraintreeライブラリ(公式NuGet ID: Braintree、PayPal/Braintreeが保守し現在5.x系)を模倣しています。
このタイポスクワットは、BraintreeGateway、CreditCardGateway、TransactionGatewayといったほぼ同一の公開API表面を使用しており、開発者が取引を実行すると正規SDKと同様にもっともらしいResult<T>オブジェクトが返されるため、インプラントの存在が隠蔽されます。
ただし、細かな点に偽装の痕跡が見られます。バージョン体系の不一致(3.36.1 対 正式版の5.x)、正規のGitHubリポジトリを指すプロジェクトメタデータ、そして公式ドキュメントからコピーされ、いまだに正規パッケージ名のインストールを指示しているREADMEなどです。
公開者は120個の使い捨て0.0.xバージョンにわたってダウンロード数を水増しし、可視性を高めていました。実際の悪意あるリリースでの確認済みインストール数は数百件程度にとどまるものの、それでも実害が及ぶ範囲は決して小さくありません。
Braintree.Netタイポスクワット
Socketは同パッケージをNuGetに報告済みで、削除と公開者アカウントの停止を要請しています。影響を受けるパッケージバージョンや分析の詳細については、Socketの技術レポートを参照してください。
このインプラントは3つの独立した外部送信経路を実装しています。まず、モジュール初期化子の経路(および付随するDependencyInjector.Coreパッケージ)がアセンブリのロード時に広範なコードベース解析を実行し、環境情報、設定内容、依存関係、クラウドのメタデータを分析用エンドポイントへ報告します。
Braintree.Netの報告されているダウンロード数約1,400万件のうち、約1,100万件は120個の使い捨て0.0.xバージョンにわたって水増しされたもので、いずれも単一日(2025年10月9日)に公開され、それぞれ約93,300件のダウンロードとなっています。
この偵察活動により、環境変数、appsettings*.jsonの内容、クラウドインスタンスのメタデータ、サービスアカウントトークンが窃取されるほか、ロード済みアセンブリやNuGet依存関係の一覧も収集されます。
第二に、BraintreeGateway.PrivateKeyのセッター部分に手が加えられており、ゲートウェイが本番環境向けに設定されている場合、merchantId、publicKey、privateKeyを攻撃者のエンドポイントへPOST送信します。これにより加盟店のAPI認証情報が完全に窃取され、実際のBraintree APIを通じて取引の作成や返金、Vaultへのアクセスが可能になってしまいます。
第三に、CardOperationLoggerがCreditCardGateway.Createなどの決済フローや関連する取引メソッドにフックし、PAN、CVV、有効期限、カード種別、顧客ID、金額を取得して/api/cardへ送信します。
Braintree.Netに加え、同じbraintreeというnuget.orgアカウントは、人気の高いSIPSorceryエコシステムを模倣したSIP/WebRTC関連パッケージ群も公開しています。
各外部送信呼び出しは空のcatchブロックで包まれているため、ネットワーク障害が発生しても検知されずに失敗し、ホストアプリケーションはそのまま動作を継続してしまいます。これにより検出が一層困難になっています。
このパッケージは、DependencyInjector.Coreのペイロード内で一部のテレメトリエンドポイントをXOR難読化によって隠す一方、カード情報やアカウント関連のエンドポイントは平文のまま残しています。
このドメインはブランド名(shakepay)を使用していますが、実際にはCloudflareのエニーキャストIPに解決されており、正規インフラではなく攻撃者が管理するホスティングであることと一致しています。
この悪意あるパッケージ群は、DependencyInjector.Coreという付随の依存パッケージも導入しており、これは.NET 8~10を対象とした横断的なトークン収集役として機能します。複数のタイポスクワット系兄弟パッケージがこの依存関係を追加し、被害範囲の拡大を図っています。
運用上の対策としては、直接的および推移的なNuGetパッケージの依存関係を監査し、想定外または類似名のパッケージがないか確認すること、そして明示的なBraintreeパッケージID(braintreepaymentsとして公開されているBraintree)に固定することが挙げられます。
パッケージの作成者を確認するとともに、アセンブリ内に想定外のモジュール初期化子やハードコードされたエンドポイント、CardOperationLoggerやDependencyInjectorLoaderのような新種の型がないかスキャンしてください。
漏えいした加盟店APIキーはローテーションを行い、本番環境のログを調査して不審なゲートウェイ初期化がないか確認することを推奨します。
2019年基準のSOC向けSLAはもう終わりに――2026年版AI SLAベンダーチェックリストはこちら – 無料のAI SOC SLAガイドをダウンロード
翻訳元: https://gbhackers.com/braintree-net-typosquat/