Newtonsoft.Jsonの偽パッケージがNuGetに登場、特定ゲームの勝敗を不正操作するコードが混入

要点

• 正規の.NET向けJSON処理ライブラリ「Newtonsoft.Json」を装い、スペルミスを狙った悪意あるパッケージ「Newtonsoftt.Json.Net」が「NuGet」上で配布されていた。
• 一般的な情報窃取型マルウェアとは異なり、オンラインベッティングプラットフォーム「Digitain」が運営するゲームの勝敗を裏で不正操作することに特化している。
• 標的以外の環境では通常のライブラリとして完全に動作するため、誤って導入した開発者が異常に気づきにくい巧妙な仕組みになっていた。
• 2025年8〜10月にかけて3世代にわたる計7つのバージョンが公開され、これまでに約1,200回ダウンロードされた。

リード文

.NET向けパッケージ管理システム「NuGet」において、広く使われるJSON処理ライブラリ「Newtonsoft.Json」の偽パッケージが配布されていたことが判明した。セキュリティ企業JFrogの調査チームが2026年7月22日に公表したもので、偽パッケージ「Newtonsoftt.Json.Net」には特定のカジノ用ゲームの勝敗を不正操作するコードが混入していたという。

本文

今回確認されたパッケージは、名前の打ち間違いを狙う「タイポスクワッティング（スペルミスを悪用した攻撃手法）」を用いてNuGetに登録されていた。登録者は「MagicalPuff96」で、計7つのバージョンを公開していた。現在は検索結果に表示されない「非公開（Unlisted）」状態だが、直接指定すればダウンロード可能で、これまでに約1,200回ダウンロードされている。

JFrogの研究者ガイ・コロレフスキー氏らによると、本パッケージは正規ライブラリを複製・改変した「トロイの木馬化されたフォーク」である。ベースは「Newtonsoft.Json 13.0」で、誤って導入しても通常のデータ処理は正常に動作するため、開発者が異常に気づきにくい。

悪意ある処理は JsonConvert.DefaultSettings の初期化時に開始される。検知回避のため、実行前にランダムな遅延を発生させるコードも組み込まれていた。

標的はオンラインベッティング運営企業「Digitain」のクラッシュゲーム（倍率グラフが急落する前に賭け金を回収するゲーム）「FG-Crash」のバックエンドサーバーだ。そこで実行されると勝敗を不正操作し、そのデータを稼働データ（テレメトリ）に見せかけて攻撃者のサーバー（185.126.237[.]64:5341）へ送信する。通信時には X-Seq-ApiKey: theperfectheist2025 というヘッダーが使われていた。

標的以外のシステムで実行された場合は一切の不正挙動を示さず、情報窃取やマルウェア常駐化なども行わない。コロレフスキー氏は「標的以外のユーザーにとっては完全に正常なライブラリとして動作するため、異常に気づくのが極めて難しい」と解説する。

JFrogの解析では、このパッケージは2025年8〜10月にかけて3世代にわたり段階的に開発されていた。第1世代はローカルのみのテスト版、第2世代は外部送信の追加と「リフレクション（自身の構造を動的に解析する技術）」や難読化ツールによるコードの隠蔽、第3世代は送信機能の安定化が図られていた。最後のバージョン「11.0.11」はなぜか難読化されておらず、開発者が誤ってクリーンなビルドを公開した可能性が指摘されている。

また、全バージョンのメタデータから同社の内部リポジトリURLが漏洩しており、制作者がFG-Crashのソースコードを事前に入手していた可能性が高いと指摘されている。

補足

JFrogは対策として、問題のパッケージの削除と指令サーバーの遮断を推奨し、固定ファイル（packages.lock.json）で本物のNewtonsoft.Jsonの信頼できるバージョンを固定するよう求めている。Digitain社は問題を把握し解決に向けた措置を講じたと説明しているが、被害の全容は不明のままである。