NuGet 트랩: Newtonsoft.Json.Net이 프로덕션에서 스포츠 결과를 조작하다

포크된 트로이 목마가 NuGet에 "Newtonsoftt.Json.Net"라는 이름으로 게시되었습니다(한 글자 차이). 이 패키지에는 7개의 버전이 유통되었으며, 스포츠 베팅 플랫폼 Digitain의 실시간 결과를 조작하기 위한 코드가 포함되어 있습니다.

발생 현황

사이버 보안 연구원들이 NuGet(.NET 패키지 관리자)에서 매우 독특한 공급망 공격을 발견했습니다. 일반적인 정보 탈취 도구 대신 악성 패키지가 Digitain 플랫폼에서 실시간 스포츠 경기 결과 조작을 위해 설계되었습니다.

해당 패키지의 이름은 "Newtonsoftt.Json.Net"입니다. 유명한 Newtonsoft.Json( Json.NET, 세계에서 가장 많이 다운로드된 .NET 라이브러리 중 하나)의 오타 스쿼팅(typo squatting) 버전입니다. NuGet 레지스트리에 총 7개의 버전이 게시되었습니다.

왜 이것이 흥미롭고(또는 우려스러운)한가

대상은 특정 사용자가 아닙니다. Digitain의 백엔드 인프라가 타겟입니다. Digitain은 전 세계 베팅 운영자에게 시스템을 제공하는 B2B 스포츠 베팅 플랫폼입니다. Digitain 측 또는 파트너가 가짜 패키지를 사용한다면 악성 코드가 실시간으로 배당, 점수 또는 경기 결과를 조작할 수 있습니다.

이는 정교한 금융 공격 벡터입니다. 베팅 서버를 직접 해킹할 필요 없이 .NET 종속성에 코드를 삽입하기만 하면 됩니다.

해당 패키지는 Newtonsoft.Json의 기능적 포크로 위장되어 있습니다. 진짜 라이브러리가 해야 할 모든 일을 수행하며, 조작 코드가 추가되어 있습니다. 이 유형의 공격은 단위 테스트와 통합 테스트를 정상적으로 통과하기 때문에 특히 교묘합니다.

영향을 받는 대상

• Newtonsoft.Json 대신 Newtonsoftt.Json.Net을 입력한 .NET 개발자
• 확인되지 않은 lock-file을 사용하거나 패키지를 감사 없이 가져오는 팀
• 파트너의 손상된 종속성으로 인해 Digitain 플랫폼에서 운영하는 업체

해야 할 일

1. "Newtonsoftt.Json.Net"(이중 t)가 없는지 packages.lock.json 및 *.csproj 감사
2. 공급망 검증 도구 사용: dotnet list package -include-transitive로 모든 종속성 나열
3. 중요 종속성의 버전 고정 및 복원 시 해시 확인
4. 조직에서 비활성화한 경우 NuGet 패키지 서명 활성화

지금 바로 해야 할 일: 모든 .NET 저장소에서 grep -r "Newtonsoftt" *.csproj packages.lock.json을 실행하세요. 한 번의 거짓 양성 확인으로도 은밀한 침해를 예방할 수 있습니다.