В инфраструктуре iGaming-платформы Digitain обнаружили троян, который маскировался под популярный .NET-пакет и позволял предсказывать результаты в crash-играх. Разработчики случайно загружали вредоносную библиотеку, после чего злоумышленники получали возможность выводить деньги через беспроигрышные ставки.
Целевую атаку на бекенд crash-игр обнаружили исследователи из компании JFrog. Эксплойт напрямую вмешивался в генерацию результатов раундов.
Как работала схема
Хакеры использовали метод typosquatting. Они залили в репозиторий NuGet пакет под названием Newtonsoftt.Json.Net — копию библиотеки Newtonsoft.Json, которую .NET-разработчики используют для парсинга JSON. Разница заключалась лишь в одной лишней букве «t».
Если пакет устанавливали в обычный проект, он работал корректно. Пейлоад активировался исключительно тогда, когда попадал в среду с развернутым бекендом crash-игр от Digitain.
Технические детали атаки
Троян действовал в несколько этапов:
- Активация с задержкой. Код запускался через 10 минут после старта приложения, чтобы обойти обнаружение во время базового тестирования и анализа логов.
- Патчинг игровой логики. Малвар искал и модифицировал метод GenerateGameResult в коде игры, который генерирует коэффициент «краша».
- Манипуляция результатами. Вместо рандома троян подставлял рассчитанный результат по формуле на основе даты и времени. Злоумышленники точно знали тайминг выигрышного раунда.
- Экспфильтрация данных. Данные о изменённых раундах отправлялись на C2-сервер под видом обычной телеметрии.
Инсайдерская работа?
Атака требовала знания внутренней архитектуры ПО Digitain. Хакеры знали точное название метода генерации результатов и структуру кода. Вероятно, эксплойт написал действующий или бывший сотрудник либо подрядчик с доступом к исходникам.
В метаданных вредоносного пакета также нашли ссылку на внутренний репозиторий Digitain, связанный с проектом «FG-Crash».
Реакция Digitain и последствия
JFrog передали информацию Digitain 7 июля 2026 года. 9 июля представители iGaming-платформы заявили, что уже знали о уязвимости и закрыли её.
Пакет убрали из поиска NuGet в октябре 2025 года, но файлы оставались доступны по прямой ссылке. Аналитики нашли семь версий трояна с суммарным количеством загрузок около 1200 раз. Кто стоит за атакой и сколько денег вывели — неизвестно.
Кейс показывает реальные риски supply chain атак через сторонние библиотеки в гемблинге. Контроль доступа к критическим узлам кода остаётся слабым местом даже в крупных продуктах.
🖋 UAFF — будь в курсе арбитражных инсайтов 😬