NuGet enganado: Newtonsoft.Json.Net manipula resultados esportivos em produção

Um fork trojanizado do Newtonsoft.Json foi publicado no NuGet com o nome "Newtonsoftt.Json.Net" — uma letra de diferença. Sete versões do pacote circularam com código projetado para fraudar os resultados ao vivo da plataforma de apostas esportivas Digitain.

O que está acontecendo

Pesquisadores em cibersegurança descobriram uma campanha de supply chain no NuGet (o gerenciador de pacotes .NET) particularmente original: em vez de implantar um clássico infostealer, o pacote malicioso foi projetado para fraudar resultados esportivos ao vivo na plataforma Digitain.

O pacote se chama "Newtonsoftt.Json.Net" — duas letras t em Newtonsoft. Trata-se de um typosquat do famoso Newtonsoft.Json (Json.NET), uma das bibliotecas .NET mais baixadas do mundo. Sete versões foram publicadas no registro NuGet.

Por que isso é interessante (e preocupante)

O alvo não é um usuário específico: é a infraestrutura backend da Digitain, uma plataforma B2B de apostas esportivas que fornece seus sistemas a operadores de jogos em todo o mundo. Se uma integração do lado da Digitain ou de um de seus parceiros usar o pacote falso, o código malicioso pode alterar as odds, os placares ou os resultados de partidas em tempo real.

É um vetor de ataque financeiro sofisticado: não é necessário invadir diretamente os servidores de apostas — basta inserir código em uma dependência .NET.

O pacote se apresenta como um fork funcional do Newtonsoft.Json — ele faz tudo o que a biblioteca real deveria fazer, com código de manipulação adicional. Esse tipo de ataque é especialmente sorrateiro porque os testes unitários e de integração geralmente passam normalmente.

Quem é afetado

• Desenvolvedores .NET que digitaram Newtonsoftt.Json.Net em vez de Newtonsoft.Json
• Equipes que usam lock-files não verificados ou importam pacotes sem auditoria
• Operadores na plataforma Digitain por meio de possíveis dependências comprometidas em um parceiro

O que fazer

1. Auditar seus packages.lock.json e *.csproj para verificar a ausência de "Newtonsoftt.Json.Net" (com dois t)
2. Usar uma ferramenta de verificação de supply chain: dotnet list package -include-transitive para listar todas as dependências
3. Fixar versões de suas dependências críticas e verificar seu hash durante a restauração
4. Ativar a assinatura de pacotes NuGet se sua organização a desativou

A fazer agora: grep -r "Newtonsoftt" *.csproj packages.lock.json em todos os seus repositórios .NET. Um único falso positivo a verificar vale mais do que uma comprometimento silencioso.