NuGet トラップ：Newtonsoft.Json.Net が本番環境でスポーツの結果を改ざん

フォークされたトロイの木馬化された Newtonsoft.Json が NuGet 上で "Newtonsoftt.Json.Net" という名前（1文字の違い）で公開されました。このパッケージは 7 つのバージョンが流通しており、スポーツベッティングプラットフォーム Digitain からのライブ結果を改ざんするように設計されたコードが含まれています。

何が起こっているのか

サイバーセキュリティ研究者らは、NuGet（.NET用パッケージマネージャー）上で特に独創的なサプライチェーン攻撃を発見した。従来の情報窃取型マルウェアではなく、悪意のあるパッケージはDigitainプラットフォーム上でライブスポーツ結果を改ざんするように設計されている。

パッケージ名は"Newtonsoftt.Json.Net" - Newtonsoftにtが2つ入っている。これは世界で最もダウンロードされている.NETライブラリの一つ、Newtonsoft.Json（Json.NET）のtypo squattingだ。7つのバージョンがNuGetレジストリに公開されていた。

なぜこれが興味深く（そして恐ろしいか）

ターゲットは個人ユーザーではない：Digitainのバックエンドインフラだ。Digitainは世界中のゲーム運営者にシステムを提供するB2Bスポーツベッティングプラットフォームである。Digitain側またはそのパートナーが偽のパッケージを使用すると、悪意のコードがリアルタイムでオッズ、スコア、試合結果を改ざんする可能性がある。

これは洗練された金融攻撃ベクトルだ。ベッティングサーバーを直接ハッキングする必要はなく、.NETの依存関係にコードを紛れ込ませるだけで済む。

このパッケージはNewtonsoft.Jsonの機能的フォークとして振る舞う。本物のライブラリが行うすべての機能を実行し、その上で改ざんコードが追加されている。この種の攻撃は特に陰湿で、ユニットテストや統合テストを通常通り通過してしまう。

影響を受ける可能性があるのは

• Newtonsoftt.Json.Netと（tが1つの）Newtonsoft.Jsonを間違えて入力した.NET開発者
• 未検証のlock-fileを使用したり、監査なしでパッケージをインポートしたチーム
• パートナーの侵害された依存関係を通じてDigitainプラットフォームを利用する運営者

対策

1. *packages.lock.jsonと`.csprojを監査**し、"Newtonsoftt.Json.Net"（t`が2つ）が存在しないことを確認
2. サプライチェーン検証ツールを使用：dotnet list package -include-transitiveですべての依存関係をリスト化
3. 重要な依存関係のバージョンを固定し、復元時にハッシュを検証
4. NuGet Package Signingを有効化する（組織で無効化していた場合）

今すぐ実行すべきこと：すべての.NETリポジトリでgrep -r "Newtonsoftt" *.csproj packages.lock.jsonを実行。1つの偽陽性を確認することが、静かな侵害を防ぐことにつながる。