SlowMist: вредоносный скрипт в Udesk подменял криптоадреса и крал данные
Специалисты SlowMist обнаружили вредоносный JavaScript-код в системе клиентской поддержки Udesk, который похищал учетные данные пользователей и подменял адреса для пополнения счетов на криптоплатформах.
Команда кибербезопасности SlowMist выявила атаку с внедрением вредоносного кода в скрипты сервиса поддержки клиентов Udesk. Злоумышленники незаметно встроили в систему код, который подгружал скрипт deeps.js с фейкового домена udeskqlobal[.]com — отличие от оригинального адреса udeskglobal составляло всего одну букву, q вместо g.
По данным исследователей, вредонос работал в несколько этапов. Сначала он считывал cookies, localStorage и sessionStorage браузера, пытаясь похитить токены авторизации — это давало хакерам доступ к аккаунтам без пароля. Параллельно скрипт перехватывал данные из форм на сайте: имена, пароли, коды подтверждения, информацию из запросов на вход и регистрацию. Все сведения уходили на серверы злоумышленников, а при блокировке стандартной отправки код маскировал данные под обычный запрос картинки.
Аналитики SlowMist отметили, что окно чата в формате iframe не защищало сайты — вредоносный код получал доступ к данным всей основной страницы. Сбор учетных данных происходил на всех ресурсах с пораженным виджетом Udesk, а не только на отдельных целевых площадках.
Отдельный модуль скрипта отвечал за подмену адресов пополнения счетов на трех доменах: mgbx[.]com, bikingex[.] и bitxex[.]io. Каждые 200 миллисекунд код искал на странице адреса депозитов и заменял их на заданные злоумышленниками значения для шести типов активов: BTC, EVM-сетей, TRON, Solana, LTC и DOGE. Проверка сети или других параметров транзакции не проводилась.
Скрипт также вмешивался в буфер обмена тремя способами: перехватывал вызовы Clipboard API, заменял кнопки копирования и изменял содержимое события копирования. Из-за этого поддельный адрес мог попасть в буфер обмена даже при попытке скопировать другой текст.
SlowMist призвала компании, использующие пораженные скрипты, прекратить их распространение, проверить системы на признаки компрометации, отозвать скомпрометированные учетные данные и проверять адреса депозитов по надежным серверным данным и записям транзакций.
Источник
- IncryptedЭксперты SlowMist заявили об утечке данных и подмене криптоадрес в Udesk
