В інфраструктурі iGaming-платформи Digitain виявили троян, який маскувався під популярний .NET-пакет і дозволяв передбачати результати в crash-іграх. Розробники випадково завантажували шкідливу бібліотеку, після чого зловмисники отримували можливість виводити гроші через безпрограшні ставки.
Цільову атаку на бекенд crash-ігор виявили дослідники з компанії JFrog. Експлойт напряму втручався в генерацію результатів раундів.
Як працювала схема
Хакери використали метод typosquatting. Вони залили в репозиторій NuGet пакет під назвою Newtonsoftt.Json.Net — копію бібліотеки Newtonsoft.Json, яку .NET-розробники використовують для парсингу JSON. Різниця полягала лише в одній зайвій літері «t».
Якщо пакет встановлювали у звичайний проєкт, він працював коректно. Пейлоад активувався виключно тоді, коли потрапляв у середовище з розгорнутим бекендом crash-ігор від Digitain.
Технічні деталі атаки
Троян діяв у кілька етапів:
- Активація з затримкою. Код запускався через 10 хвилин після старту застосунку, щоб обійти виявлення під час базового тестування та аналізу логів.
- Патчинг ігрової логіки. Малвар шукав і модифікував метод GenerateGameResult у коді гри, який генерує коефіцієнт «крешу».
- Маніпуляція результатами. Замість рандому троян підставляв прорахований результат за формулою на основі дати й часу. Зловмисники точно знали таймінг виграшного раунду.
- Ексфільтрація даних. Дані про змінені раунди йшли на C2-сервер під виглядом звичайної телеметрії.
Інсайдерська робота?
Атака вимагала знання внутрішньої архітектури ПЗ Digitain. Хакери знали точну назву методу генерації результатів і структуру коду. Ймовірно, експлойт написав чинний або колишній співробітник чи підрядник із доступом до сорсів.
У метаданих шкідливого пакета також знайшли посилання на внутрішній репозиторій Digitain, пов'язаний з проєктом «FG-Crash».
Реакція Digitain та наслідки
JFrog передали інформацію Digitain 7 липня 2026 року. 9 липня представники iGaming-платформи заявили, що вже знали про вразливість і закрили її.
Пакет прибрали з пошуку NuGet у жовтні 2025 року, але файли залишалися доступними за прямим лінком. Аналітики знайшли сім версій трояна з сумарною кількістю завантажень близько 1200 разів. Хто стоїть за атакою і скільки грошей вивели — невідомо.
Кейс показує реальні ризики supply chain атак через сторонні бібліотеки в гемблі. Контроль доступу до критичних вузлів коду залишається слабким місцем навіть у великих продуктах.
🖋 UAFF — будь в курсі арбітражних інсайтів 😬