اكتشفت SlowMist كودًا ضارًا في نصوص خدمة العملاء Udesk

رسالة من ChainCatcher، وفقًا لما كشفته SlowMist، فإن فريق الأمن الخاص بها اكتشف أثناء فحصه اليومي لبيانات التهديدات أن نصًا مرتبطًا بنظام خدمة العملاء Udesk، وهو udeskApi.2026-10-16.cached.js، تم تزويده بحمولة ضارة. تُخفي هذه الحمولة العناوين باستخدام الترميز السداسي عشري، وتقوم بتحميل نصوص عن بُعد بشكل غير متزامن باسم deeps.js (المصدر: udeskqlobal[.]com، لاحظ أن النطاق يبدأ بالحرف q). يقوم هذا النص بقراءة ملفات تعريف الارتباط (Cookie) وlocalStorage وsessionStorage المتاحة للصفحة، ويعترض طلبات النماذج وتسجيل الدخول والتحقق، ثم يرسل البيانات إلى udeskqlobal[.]com/c.php، مما قد يسمح للمهاجمين باستغلال الجلسات أو الاستيلاء على الحسابات. لا تخضع هذه السلوكيات لجمع البيانات لقيود موقع الهدف، وقد تتأثر الصفحات غير المطابقة أيضًا. وفقًا لتحليل SlowMist، يستهدف هذا النص أيضًا ثلاثة أنواع من المواقع: mgbx[.]com وbikingex[.] وbitxex[.]io، حيث يقوم بمسح صفحات الإيداع كل 200 مللي ثانية، ويستبدل عناوين الإيداع المكتشفة بعناوين محددة مسبقًا لـ BTC وEVM وTRON وSolana وLTC وDOGE. كما يقوم النص بتغليف واجهة برمجة تطبيقات الحافظة، واستبدال أزرار النسخ، واعتراض أحداث النسخ، مما يجعل المستخدمين يرون وينسخون عناوين مُعدَّلة. إذا قام المستخدمون بإرسال الأموال إلى هذا العنوان، فستنتقل الأموال إلى عنوان المهاجم.