- JFrogが、人気のNewtonsoft.Jsonライブラリになりすましたトロイの木馬NuGetパッケージ「Newtonsoftt.Json.Net」を発見
- マルウェアはDigitainのクラッシュゲーム用バックエンドを標的とし、コードベースに関する内部知識を悪用して結果を不正操作
- 問題は迅速に修正されたものの、攻撃者は依然として特定されていない
セキュリティ研究者チームのJFrogは、ある特定の企業だけを標的とし、それ以外の感染者には無害なままにしておくという、極めて特異なトロイの木馬を発見しました。
「Newtonsoftt.Json.Net」と名付けられたこのトロイの木馬は、絶大な人気を誇るJSONライブラリ「Newtonsoft.Json」のタイポスクワッティング(綴り違い)によるNuGetパッケージの亜種です。正規のパッケージは.NETプログラミングの世界で最も広く使われているコードライブラリの一つで、ほぼすべてのプロジェクトで必要とされています。これは、.NETアプリケーションがデータを読み取り、解釈し、異なるシステム間でやり取りするのを助ける小さなソフトウェアです。
JFrogによると、何者かがほぼ同一のパッケージを公開し、本物の作者名やライセンスをそのままコピーして、正常に動作するよう作り込んでいました。このパッケージをインストールしたほとんどの人にとっては、まったく普通に機能していました。しかし、Digitainのクラッシュゲーム用バックエンドを開発していたエンジニアにとっては、事情がまったく異なっていました。
ゲームの不正操作
Digitainは、世界中のギャンブル企業向けにオンラインスポーツベッティングおよびゲーミングソフトウェアプラットフォームを提供するアルメニアのソフトウェア企業です。
Digitainの実際のクラッシュゲーム用コードが稼働している感染マシン上で、このマルウェアは公正な数値の代わりに、日時に基づく計算式で導き出した不正な数値をすり替えて挿入します。
つまり、このギャンブルゲームの結果は不正操作されており、攻撃者はどのラウンドが操作されているかを事前に把握した上で、それに応じて賭けを行うことができるのです。
また、このマルウェアは不正操作された各ラウンドについて報告を行う秘密の確認用チャンネルも構築しており、攻撃者はこの不正コードが依然として機能しているかどうかを把握できるようになっていました。
JFrogは攻撃者を特定していませんが、内部関係者による犯行である可能性が極めて高いと強調しています。
この攻撃を成立させるには、Digitainのゲームエンジン内でクラッシュゲームの結果を決定する正確な内部関数名についての知識が必要だったことから、Digitainのコードベースに関する内部知識を持つ人物(例えば現従業員や元従業員、あるいは業務委託先)でなければ、こうした攻撃コードを構築できなかったとみられています。
研究者らは2026年7月7日にDigitainに連絡を取り、その2日後、この問題は既にチームにエスカレーションされ、その間に修正済みであるとの通知を受けました。
