La bifurcación troyanizada Newtonsoft.Json oculta el código de manipulación de juegos en una biblioteca de trabajo – CYBERDEFENSA.MX
Los investigadores de ciberseguridad han descubierto un error tipográfico de NuGet que es diferente al típico malware de robo de información distribuido a través de registros de paquetes: ladrones de información habituales: está diseñado para manipular resultados de juegos en vivo en Digitain.
El paquete, llamado «Newtonsoftt.Json.Net,» se hace pasar por la biblioteca Newtonsoft.Json y es una bifurcación troyanizada. Se han publicado siete versiones del paquete en el repositorio NuGet: 11.0.4, 11.0.5, 11.0.7, 11.0.8, 11.0.9, 11.0.10 y 11.0.11. El paquete se ha descargado aproximadamente 1200 veces hasta la fecha.
El paquete no ha sido incluido en la lista por su propietario MagicalPuff96, lo que significa que no será surgió a través de una búsqueda en NuGet. Sin embargo, los artefactos todavía están disponibles para descargar desde el registro.
«El troyano manipula Digitain, una plataforma de apuestas en línea, y en generaciones posteriores, filtra resultados manipulados a un servidor controlado por el atacante, utilizando el encabezado X-Seq-ApiKey: theperfectheist2025», según JFrog.
Lo notable del paquete es que apunta específicamente a una sola entidad, mientras funciona como se esperaba para otros usuarios.
«Los desarrolladores que lo instalan por error tipográfico obtienen una compilación Newtonsoft.Json real y funcional; el comportamiento malicioso comienza después de que el host inicializa JsonConvert.DefaultSettings, y sólo puede tener éxito en sistemas que exponen el método backend del juego específico del objetivo, y sólo después de un retraso», dijo Guy Korolevski, investigador de seguridad de JFrog.
Las siete versiones publicadas contienen la misma bifurcación troyanizada de Newtonsoft.Json 13.0. repartidos en tres generaciones que se publicaron entre el 13 de agosto y el 10 de octubre de 2025.
La puerta trasera se inicia a través del configurador de propiedades DefaultSettings, que se ha modificado de modo que invoca un código controlado por el atacante para introducir un retraso aleatorio como una forma de eludir la detección antes de que se active la funcionalidad maliciosa. El objetivo final es apuntar a servidores que ejecutan el backend de crash-game de Digitain y exfiltrar los resultados manipulados a un punto de exfiltración codificado («185.126.237[.]64:5341») haciéndolos pasar por datos de telemetría.
«Lo que cambia entre versiones es la ofuscación, la estrategia de manipulación y la ruta de exfiltración», explicó JFrog. «La progresión muestra que el autor endureció iterativamente la carga útil: Gen-1 fue una prueba de concepto de manipulación solo local; Gen-2 agregó exfiltración pero la ocultó detrás de la reflexión y ConfuserEx, Gen-3 limpió la manipulación y estabilizó la exfiltración, con 11.0.11 completamente despejado, consistente con una compilación limpia accidental que se publicó».
La principal víctima del fraude es Digitain, el operador del juego de apuestas FG-Crash. Se ha descubierto que los metadatos del paquete filtran una URL del repositorio interno de Digitain siete veces (en todas las versiones del paquete), lo que indica que el autor tuvo acceso al código fuente de FG-Crash.
«El troyano sólo se activa cuando se asigna JsonConvert.DefaultSettings y sólo parchea un método presente en el backend FG-Crash», dijo Korolevski. «Los consumidores no objetivo pueden ver sólo una biblioteca JSON en funcionamiento y ningún comportamiento de manipulación, que es exactamente lo que hace que este ataque typosquat sea tan efectivo».
«No hay robo de credenciales, persistencia o capacidad de movimiento lateral en la carga útil. Su único propósito es comprometer la integridad del juego bloqueado. Es posible que otros desarrolladores que instalaron este paquete ni siquiera se den cuenta de que instalaron malware o que tengan resultados negativos en su aplicación, ya que solo está dirigida a una organización específica».
Para contrarrestar la amenaza, se recomienda a los desarrolladores eliminar el paquete typosquat, bloquear la dirección de comando y control (C2) y fijar Newtonsoft.Json a una versión que se sepa que funciona a través de packages.lock.json. Digitain, por su parte, ha revelado que está al tanto del problema y que ha tomado medidas para resolverlo. Dicho esto, aún se desconoce el alcance total de la exposición.
