একটি স্ক্রিপ্ট পোজনিংয়ের মাধ্যমে কিভাবে একসাথে ব্যবহারকারীর ডেটা এবং ট্রান্সফার করা ফান্ডসকে লক্ষ্য করা যায়?

লেখক এবং উৎস: ম্যান ওয়ু টেকনোলজি

প্রেক্ষাপট

সাম্প্রতিক সময়ে, ম্যান ওয়াগ সিকিউরিটি টিম তাদের দৈনিক হুমকি ইন্টেলিজেন্স খোঁজার প্রক্রিয়ায় একটি আক্রমণ শনাক্ত করেছে যেখানে Udesk কাস্টমার সাপোর্ট সিস্টেমের সংশ্লিষ্ট স্ক্রিপ্টগুলি বিষাক্ত করা হয়েছে। দলটি পরবর্তীতে udeskApi.2026-10-16.cached.js এবং deeps.js দুটি JavaScript নমুনা পেয়েছে এবং বিশ্লেষণ শুরু করেছে, যাতে বুঝতে পারে যে কীভাবে এই ম্যালওয়্যার কোডটি কাস্টমার সাপোর্ট স্ক্রিপ্টের মাধ্যমে পৃষ্ঠায় প্রবেশ করেছে এবং এটি ব্যবহারকারীর ডেটা এবং ব্যবসায়িক অপারেশনগুলিতে কী করেছে।

নমুনার পরীক্ষা ধাপে ধাপে দুটি ধরনের ঝুঁকি প্রকাশ করে: একটি ক্ষতিকারক স্ক্রিপ্ট ওয়েবপেজের সেশন ডেটা এবং ব্যবহারকারী দ্বারা জমা দেওয়া সংবেদনশীল তথ্য সংগ্রহ করে এবং একইসাথে সাইটের নিয়ম অনুযায়ী রিচার্জ ঠিকানা এবং কপি কন্টেন্ট পরিবর্তন করে। প্রথমটি আক্রমণকারীকে লগইন সেশন ব্যবহার করে বা অ্যাকাউন্ট নিয়ন্ত্রণে নিতে পারে, আর দ্বিতীয়টি ব্যবহারকারীকে পরিবর্তিত প্রাপক ঠিকানায় রিচার্জ অর্থপ্রেরণের দিকে পরিচালিত করতে পারে। আমরা কাস্টমার সাপোর্ট স্ক্রিপ্টের লোডিং এন্ট্রি থেকে শুরু করে, ডেটা পড়া, নেটওয়ার্কে পাঠানো এবং পেজ মডিফিকেশনের লজিকের মধ্যেদিয়ে, এই দুটি আচরণের বাস্তবায়ন এবং ট্রিগারিংয়ের শর্তগুলির পুনর্গঠন করি।

মিস্টআই প্রতিক্রিয়া

MistEye হল SlowMist দ্বারা স্বাধীনভাবে উন্নয়নকৃত একটি Web3 হুমকি সংক্রান্ত তথ্য এবং ডায়নামিক সিকিউরিটি মনিটরিং সিস্টেম, যা সিকিউরিটি মনিটরিং এবং ইনফরমেশন এগ্রিগেশনের ক্ষমতা একীভূত করে ব্যবহারকারীদের জন্য রিয়েল-টাইম ঝুঁকি সতর্কবার্তা এবং সম্পদ রক্ষা প্রদান করে।

MistEye প্রাথমিকভাবে সংবাদ প্রেরণ এবং গ্রাহক সতর্কীকরণ চ্যানেলের মাধ্যমে ঝুঁকি সম্পর্কে সিঙ্ক্রোনাইজ করেছে।

ম্যালিশিয়াস লোডার এবং রিমোট লোড মেকানিজম

udeskApi.2026-10-16.cached.js ফাইলটি খুলে দেখা যায় কাস্টমার সাপোর্ট বোতাম, চ্যাট iframe, পরিদর্শনকারী ট্র্যাকিং এবং মেসেজ কমিউনিকেশনের মতো ফাংশনগুলির কোড। ফাইলের শেষের দিকে পরীক্ষা করলে, মূল কোডের পরে একটি স্বতন্ত্র ফাংশন রয়েছে: এটি _ud() দ্বারা দুটি স্ট্রিংকে ডিকোড করে, এলিমেন্ট তৈরি করে এবং বর্তমান ডকুমেন্টের head-এ সন্নিবেশ করে।

এই সেকশনটিতে ট্যাগের নাম এবং রিমোট URL সরাসরি উল্লেখ করা হয়নি। শুধুমাত্র প্লেইন টেক্সট ডোমেইন অনুসন্ধান করলে লোডিং এন্ট্রি বাদ পড়ে যাওয়ার সম্ভাবনা রয়েছে। আমরা _ud() এর বাস্তবায়নের দিকে তাকাই এবং দেখি যে এটি প্রতিবার দুটি হেক্সাডেসিমাল অক্ষর নেয়, তারপর এগুলিকে অক্ষরে রূপান্তরিত করে; ধ্রুবকগুলি প্রসারিত করার পর, লোডিং টার্গেটটি স্পষ্টভাবে প্রকাশিত হয়।

736372697074 কে script হিসাবে ডিকোড করা হয়েছে, অন্য একটি ধ্রুবক ডিকোড করা হয়েছে https[:]//udeskqlobal[.]com/deeps.js। ডোমেইনের qlobal অক্ষরটি q দিয়ে শুরু, খোঁজার সময় এই বানানটি রাখা উচিত। লোডারটি স্ক্রিপ্টকে অ্যাসিঙ্ক্রোনাস হিসাবে সেট করে পেজে ইনসার্ট করে; যখন এই অবস্থানে পৌঁছানো হয় এবং ব্রাউজারের নীতি ও নেটওয়ার্ক অনুমতি দেয়, তখন দূরবর্তী কোডটি বর্তমান ডকুমেন্টে প্রবেশ করতে পারে।

এই URL-এর সাথে সম্পর্কিত লোড হয় deeps.js। তদন্তের ফোকাস কাস্টমার সাপোর্ট SDK থেকে লোড হওয়া কোডের দিকে সরে গেছে। তৃতীয় পক্ষের ক্লাসিক স্ক্রিপ্টটি ডকুমেন্টের কনটেক্সটে এক্সিকিউট হয়, এবং এটি যে ডেটা অ্যাক্সেস করতে পারে, তা বাস্তবে চলমান পেজ বা iframe-এর উপর নির্ভর করে। কাস্টমার চ্যাট উইন্ডো iframe ব্যবহার করে, এবং এটি অটোমেটিকভাবে হোস্ট পেজে লোড হওয়া স্ক্রিপ্টগুলিকে আলাদা করে না।

ওয়েবসাইট ডেটা সংগ্রহ প্রক্রিয়া এবং প্রভাবের পরিসর

deeps.js প্রথমে window.location.hostname পড়ে এবং তিনটি সাইটের নিয়ম অনুযায়ী কনফিগারেশন C তৈরি করে। কোন পৃষ্ঠাগুলি সংগ্রহ করা হবে তা নির্ধারণ করতে, শুধু এই কনফিগারেশনটি যথেষ্ট নয়: এটি সম্পূর্ণ স্ক্রিপ্টকে সীমাবদ্ধ করে, নাকি এর কোনো একটি মডিউলকে, তা চিহ্নিত করতে বাইরের নির্ণয়ের স্থানটি ট্র্যাক করতে হবে।

নিয়ন্ত্রণ প্রবাহের নিচের দিকে পরীক্ষা করে, আমরা দেখি যে কুকি এবং ওয়েব স্টোরেজ পড়া, স্টার্ট স্ন্যাপশট পাঠানো, এবং ফর্ম এবং অথেনটিকেশন রিকোয়েস্ট হুকগুলি সবই if (!C) return; এর আগে আসে। নিচে সোর্স কোডের ক্রমঅনুসারে স্ন্যাপশট পাঠানোর বিবৃতি এবং শেষ XHR হুকটি উদ্ধৃত করা হল; মন্তব্যগুলি D:L100, D:L151–L166-এর সাথে মিলে যাওয়া মধ্যবর্তী বাদ দেওয়া কোডকে চিহ্নিত করে।

বের হওয়ার সিদ্ধান্তের অবস্থানটি প্রভাবের সীমানা পরিষ্কার করে: যদিও hostname তিনটি সাইটের নিয়মকে মিলিয়ে না নেয়, স্ক্রিপ্টটি প্রথমে ডেটা সংগ্রহের পথে প্রবেশ করবে এবং হুক ইনস্টল করবে, তারপরই এড্রেস মডিউল থেকে বের হবে। প্রকাশিত পৃষ্ঠা চেক করার সময়, শুধুমাত্র এই তিনটি সাইটের কনফিগারেশনের উপর নির্ভর করা উচিত নয়।

শুরুর সময়, লোড বর্তমান ওয়েবপেজে অ্যাক্সেসযোগ্য কুকি, localStorage এবং sessionStorage পড়ে। এই অবস্থানগুলিতে লগইন স্ট্যাটাস, ব্যবহারকারীর প্রোফাইল এবং ব্যবসায়িক ডেটা সংরক্ষণ করা হয়; যদি এগুলিতে এখনও বৈধ এবং পুনরায় ব্যবহারযোগ্য লগইন টোকেন থাকে, তবে আক্রমণকারী এগুলি পেয়ে ব্যবহারকারীর সেশন অপহরণ করতে পারে। স্ক্রিপ্টটি শীর্ষস্থ পেজের URL এবং বর্তমান ডকুমেন্টের origin-ও সহযোগী করে, যাতে এই ডেটা উৎসপেজের সাথে জমা দেওয়া যায়।

সংগ্রহ প্রক্রিয়াটি প্রতিটি পদক্ষেপে ত্রুটি সহনশীল। উৎস থেকে টপ-লেভেল URL পড়তে ব্যর্থ হলে, স্ক্রিপ্টটি x দিয়ে প্রতিস্থাপন করে অন্যান্য ক্ষেত্রগুলি প্রক্রিয়া করতে চালিয়ে যায়; দুটি ধরনের ওয়েবপৃষ্ঠ সংরক্ষণকে JSON-এ সিরিয়ালাইজ করা হয়। কুকির সীমা document.cookie-এর পাঠযোগ্য বিষয়বস্তুর সীমানার মধ্যে সীমাবদ্ধ, HttpOnly কুকিগুলি এর মধ্যে অন্তর্ভুক্ত নয়।

স্ক্রিপ্টটি পরবর্তীতে জমা দেওয়া ডেটার জন্য একটি ইনপুট রাখে। ব্যবহারকারী ফর্ম জমা দিলে, এটি input, select এবং textarea এর মধ্যে পরিভ্রমণ করে, খালি নয় এমন কনটেন্ট কপি করে এবং মূল জমা প্রক্রিয়াটি চালিয়ে যায়। অ্যাকাউন্ট, পাসওয়ার্ড, ক্যাপচা ইত্যাদি পৃষ্ঠায় বাস্তবে পূরণ করা ফিল্ডগুলি অতিরিক্ত ডেটা পাঠানোর পথে যেতে পারে, যা প্রকাশিত হলে অ্যাকাউন্টে লগইন বা অ্যাকাউন্ট হ্যান্ডল করার জন্য ব্যবহার করা যেতে পারে।

এই পথটি HTMLFormElement.prototype.submit কে প্যাকেজ করে এবং সাবমিট ইভেন্টের ক্যাপচার পর্যায়ে শুনে বাস্তবায়িত হয়। ইন্টারফেসের মাধ্যমে সরাসরি ডেটা সাবমিট করা পৃষ্ঠাগুলির জন্য, স্ক্রিপ্টটি fetch এবং XHR কেও প্যাকেজ করে: যখন অনুরোধটির বডি সহ URL-এ login|signin|auth|register|signup|password ইত্যাদি কীওয়ার্ডগুলি থাকে, তখন সংশ্লিষ্ট বিষয়বস্তুটি কপি করা হয় এবং মূল অনুরোধ কলটি বজায় রাখা হয়। fetch শাখার জন্য অতিরিক্তভাবে URL-এর ধরণ স্ট্রিং হতে হবে এবং বডি request options-এর থেকে আসতে হবে; FormData ইত্যাদি অবজেক্টগুলিকে সরাসরি JSON-এ serialize করলে, সংগৃহীত বিষয়বস্তুতে বাস্তবিক ফিল্ডগুলি অনুপস্থিত থাকতে পারে।

ডেটা লিক মেকানিজম এবং ব্যাকআপ চ্যানেল

উপরের ডেটা সংগ্রহ এন্ট্রি চূড়ান্তভাবে একই _send() কল করে। এই ফাংশনটি ট্রেস করলে দেখা যায় যে এটি স্থির গ্রহণকারী https[:]//udeskqlobal[.]com/c.php-এ ডেটা পাঠায়। শুরুর স্ন্যাপশটে s, o, c, l, ss ফিল্ডগুলি যথাক্রমে পেজ ঠিকানা, বর্তমান সোর্স, পাঠযোগ্য কুকি এবং দুই ধরনের ওয়েব স্টোরেজ বহন করে; পরবর্তী ফর্ম এবং অথেনটিকেশন রিকোয়েস্টগুলি প্রতিটি ট্রিগারের সময় পাঠানো হয়।

ফাংশনটি URL-এর প্রশ্নবোধক চিহ্নের পরের প্যারামিটারগুলি আলাদা করে অ্যাসিঙ্ক্রোনাস POST বডিতে রাখে এবং Content-Type: application/x-www-form-urlencoded সেট করে। নিচে প্রেরণ ফাংশনটি সম্পূর্ণভাবে রাখা হয়েছে (D:L45–L60):

পাঠানোর পথে ছবি অনুরোধের ব্যাকআপও অন্তর্ভুক্ত রয়েছে: যখন XHR ত্রুটি ঘটে বা প্রেরণ প্রক্রিয়ায় সিঙ্ক্রোনাস ব্যতিক্রম ঘটে, স্ক্রিপ্টটি একটি Image অবজেক্ট তৈরি করে, প্যারামিটারসহ URL-টিকে src-এ বরাদ্দ করে, এবং ডেটা পুনরায় পাঠানোর জন্য GET এর মাধ্যমে চেষ্টা করে। URL-টি 8,000টি JavaScript অক্ষর পর্যন্ত কাটা হয়, যার ফলে দীর্ঘ বিষয়বস্তু অসম্পূর্ণ হতে পারে।

এই পথটি বুঝতে, "অনুরোধ প্রেরণ" এবং "প্রতিক্রিয়া পড়া" এর মধ্যে পার্থক্য করা প্রয়োজন। স্ক্রিপ্টটি c.php-এর প্রতিক্রিয়া পড়ে না; সাধারণ অনুরোধের শর্ত পূরণকারী ক্রস-ওয়েব POST অনুরোধটি প্রথমে প্রেরণ করা যেতে পারে, এবং তারপর ব্রাউজার প্রতিক্রিয়া পড়াকে সীমাবদ্ধ করে, তাই CORS ত্রুটি অনুরোধ প্রেরণের সাথে একসাথেই ঘটতে পারে। ত্রুটি নিরীক্ষার সময় POST বডি এবং ছবি GET প্যারামিটার উভয়ই পরীক্ষা করা উচিত, এবং এক্সিট পলিসি connect-src এবং img-src-এর জন্য আলাদাভাবে যাচাই করা উচিত। যদি সাধারণ ফর্মটি ডকুমেন্ট নেভিগেশনকে ট্রিগার করে, তবে এটি অ্যাসিঙ্ক্রোনাস অনুরোধটির সম্পন্ন হওয়াকেও প্রভাবিত করতে পারে।

এখন পর্যন্ত, ওয়েবসাইট সেশন ডেটা এবং পরবর্তী সাবমিট করা কনটেন্টের গন্তব্য পরিষ্কার। কিন্তু লোড সাইট থেকে বের হওয়ার চেকের পরেও অন্য একটি সেট অপারেশন বজায় রাখে: ঠিকানার ফরম্যাট শনাক্তকরণ, পৃষ্ঠার টেক্সট পরিবর্তন, এবং কপি পাথ নিয়ন্ত্রণ। এই কোডগুলি জমা ব্যবসায়ের দিকে তদন্তকে আরও এগিয়ে নিয়ে যায়।

রিচার্জ ঠিকানা প্রতিস্থাপন এবং ক্লিপবোর্ড হ্যাকিং মেকানিজম

if (! C) return; এর পর স্ক্রিপ্ট ঠিকানা মডিউলে প্রবেশ করে। শুরুর তিনটি hostname নিয়ম এখন স্পষ্ট উদ্দেশ্য পায়: mgbx[.]com, bikingex[.] এবং bitxex[.]io-এর সাথে মিল রাখা, যার মাধ্যমে বিভিন্ন পৃষ্ঠার জন্য ঠিকানা এবং কপি বোতামের এলিমেন্ট সিলেক্টর নির্বাচন করা হয়।

এই নিয়মগুলির শুরু এবং শেষে অ্যানকর নেই, তাই এগুলি সঠিক ডোমেইন তুলনার চেয়ে ব্যাপক মিল খুঁজে বার করে। পেজ নিয়মগুলি পূর্ণ location.href, কোয়েরি প্যারামিটার বা ফ্র্যাগমেন্টে deposit, recharge, assets ইত্যাদি কীওয়ার্ডগুলিও পরীক্ষা করে। পেজ, এলিমেন্ট এবং ঠিকানার ফরম্যাট মিলে গেলে, স্ক্রিপ্টটি 200 মিলিসেকেন্ড অন্তর স্ক্যান করে শনাক্তকৃত রিচার্জ ঠিকানাগুলিকে কনফিগারেশন মানে পরিবর্তন করে। যদি ব্যবহারকারী পরিবর্তিত ঠিকানা ব্যবহার করে একটি বৈধ ট্রান্সফার সম্পন্ন করেন, তবে প্রাপকের লক্ষ্য হয়ে ওঠে এই ঠিকানা।

তিনটি সাইট ব্রাঞ্চ ছয়টি কনফিগারেশন মান শেয়ার করে, যাদের কোড হিসাবে BTC, EVM, TRON, Solana, LTC এবং DOGE চিহ্নিত করা হয়েছে। ঠিকানা শনাক্তকরণ শুধুমাত্র অক্ষরের আকৃতি এবং মিলের ক্রমের উপর নির্ভর করে, ব্যবহারকারীর দ্বারা নির্বাচিত নেটওয়ার্ক বা ঠিকানা চেকসাম যাচাই করা হয় না, এবং এটি সাধারণ ব্যবসায়িক শনাক্তকারীকেও ভুলভাবে শনাক্ত করতে পারে।

কপি সংক্রান্ত কোড পরীক্ষা করতে থাকুন, যেখানে নমুনা একসাথে পৃষ্ঠার প্রদর্শন এবং ক্লিপবোর্ডের বিষয়বস্তুকে প্রভাবিত করে। এইভাবে, ব্যবহারকারী যদি পৃষ্ঠার ঠিকানা এবং কপি করা ফলাফলের মধ্যে তুলনা করেন, তবুও একইভাবে পরিবর্তিত মান পেতে পারেন। তিনটি পথ হল:

• ক্লিপবোর্ড API প্যাকেজ করুন। navigator.clipboard.writeText প্রথমে R() কল করে প্যারামিটার প্রতিস্থাপন করে, তারপর মূল পদ্ধতিতে হস্তান্তর করে। এই পথটি শুধুমাত্র hostname কনফিগারেশন দ্বারা সীমাবদ্ধ, পুনরায় জমা পৃষ্ঠা শর্ত পরীক্ষা করা হয় না এবং DOM স্ক্যান দ্বারা হিট হওয়া উপাদানের উপর নির্ভর করে না।
• কপি বোতামটি প্রতিস্থাপন করুন। স্ক্রিপ্টটি মেলা বোতামটি ক্লোন করে, একটি নতুন ক্লিক লিসনার ইনস্টল করে এবং মূল নোডটি প্রতিস্থাপন করে। নতুন লিসনারটি ডিফল্ট অ্যাকশন এবং ইভেন্ট প্রোপাগেশন বন্ধ করে, এবং _cur শেয়ারড ভেরিয়েবলে সংরক্ষিত ঠিকানা কপি করার চেষ্টা করে।
• কপি ইভেন্টটি ব্লক করুন। যখন _cur খালি নয় এবং পেজ নিয়মটি প্রযোজ্য হয়, তখন document-এর লিসনারটি ব্যবহারকারীর দ্বারা সিলেক্ট করা টেক্সট পরীক্ষা না করে কপি করা কন্টেন্টটিকে _cur-এ পরিবর্তন করে দেয়।

যেখানে, ক্লিপবোর্ড এপিআই ওয়াপার এবং কপি লিসনার সোর্স কোডে পাশাপাশি অবস্থিত (D:L260–L275), কিন্তু ট্রিগার শর্তগুলি ভিন্ন:

_cur শেষ বাস্তব প্রতিস্থাপনের ঠিকানা সংরক্ষণ করে। একই পৃষ্ঠায় একাধিক ঠিকানা থাকলে, পরবর্তী প্রতিস্থাপন আগের রেকর্ডকে ওভাররাইট করে, এবং একাধিক বোতম একই মান কপি করতে পারে। যদি পৃষ্ঠাটি শুরুতেই কনফিগারেশন ঠিকানা প্রদর্শন করে, তবে স্ক্যানিং _cur কে ইনিশিয়ালাইজ করবে না, এবং নতুন বোতম লিসনারগুলি কোনো কনটেন্টও লিখবে না; ক্লোন করা HTML ইনলাইন ইভেন্ট অ্যাট্রিবিউটগুলি এখনও ইভেন্ট প্রসেসিংয়ে অংশগ্রহণ করতে পারে।

বিশ্লেষণের মধ্যে একটি বাস্তবায়ন ত্রুটি পাওয়া গেছে যা আচরণ নির্ণয়কে প্রভাবিত করে: স্ক্রিপ্টটি Element.prototype থেকে textContent-এর স্বতন্ত্র বৈশিষ্ট্য ডেসক্রিপ্টর পড়ার চেষ্টা করছে, যখন মানক বৈশিষ্ট্যটি Node.prototype-এ সংজ্ঞায়িত। মানক প্রোটোটাইপ সম্পর্কের অধীনে, .set-এ অ্যাক্সেস করলে একটি ব্যতিক্রম ছুটে যাবে। এই শাখাটি ব্যর্থ হওয়ার পর, catch ব্যতিক্রমটি গ্রাস করে; এর আগে-পরের কোডটি পরীক্ষা করলে দেখা যায় যে পোলিংটি ইতিমধ্যেই নিবন্ধিত, এবং পরবর্তীতে কপি হুকগুলি তাদের প্রতিটি শর্তের ভিত্তিতেই ইনস্টল হবে। একটি একক শাখার ত্রুটি ঠিকানা হাইজ্যাকিং মডিউলকে বন্ধ করেনি।

সারাংশ

কাস্টমার সাপোর্ট স্ক্রিপ্টের শেষে লোডারটি ট্র্যাক করার পর, আমরা নমুনার আক্রমণের লক্ষ্য চিহ্নিত করেছি: সেশন বা অ্যাকাউন্টে অনুমতি নিয়ে প্রবেশের জন্য ব্যবহারযোগ্য ডেটা সংগ্রহ করা, এবং রিচার্জ পেজ এবং কপি অপারেশনের মধ্যে প্রাপক ঠিকানাগুলিকে কনফিগারেশন মানের সাথে প্রতিস্থাপন করা। প্রথমটি তিনটি সাইটের কনফিগারেশনের সীমাবদ্ধতা থেকে মুক্ত, দ্বিতীয়টি সাইট এবং নির্দিষ্ট কপি পথের ভিত্তিতে সক্ষম। পরীক্ষা করার সময়, বিভিন্ন প্রকাশিত পরিস্থিতি কভার করা প্রয়োজন।

সংশ্লিষ্ট স্ক্রিপ্ট লোড করার ব্যবসায়িক কার্যক্রম বন্ধ করে দিন, প্রকাশিত যাচাইকরণ তথ্য প্রতিস্থাপন করুন এবং বিশ্বস্ত ব্যাকএন্ড এবং ট্রেডিং রেকর্ডের মাধ্যমে ডিপোজিট লক্ষ্য যাচাই করুন।

সুপারিশ

1. সংক্রমিত সম্পদ সংরক্ষণ এবং বিতরণ বন্ধ করুন। যদি উৎপাদন সংশ্লিষ্ট স্ক্রিপ্ট লোড করে থাকে, তবে বাস্তব প্রতিক্রিয়া, অনুরোধ শৃঙ্খলা, ক্যাশে তথ্য এবং সংগ্রহের সময় সংরক্ষণ করে দ্রুত বাধা দিন; একটি স্বতন্ত্রভাবে যাচাইকৃত বিশ্বস্ত সংস্করণ থেকে পুনরুদ্ধার করুন এবং সাইট হোস্টিং, CDN, বিল্ড এবং ট্যাগ ম্যানেজমেন্ট কনফিগারেশন পরীক্ষা করুন।
2. লোডিং এবং এক্সট্রা রেকর্ড অনুসন্ধান করুন। দুটি পাথ এবং ফাইল হ্যাশের সাথে ম্যালিশিয়াস ডোমেইনগুলির জয়েন্ট কোয়েরি; এক্সট্রা রেকর্ডগুলিতে POST বডি এবং GET প্যারামিটার উভয়ই পরীক্ষা করুন। কম্প্রেসড স্ক্রিপ্টগুলি পরীক্ষা করার সময় লোডারের হেক্সাডেসিমাল URL-ও অনুসন্ধান করুন, যাতে শুধুমাত্র প্লেইন টেক্সটের জন্য চেক করে কোনো লক্ষণ হারানো না যায়।
3. দূষিত ডকুমেন্ট বন্ধ করুন এবং প্রকাশিত পাসওয়ার্ড প্রতিস্থাপন করুন। সংশ্লিষ্ট পেজ বা WebView ডকুমেন্ট সম্পূর্ণভাবে বন্ধ করুন, পুরানো রিসোর্স পুনরায় লোড হওয়া এড়াতে। প্রকাশিত পরিসরের ভিত্তিতে, পরিষ্কার পরিবেশ থেকে সেশন বাতিল করুন, টোকেন এবং পাসওয়ার্ড পরিবর্তন করুন; script ট্যাগ সরানো ইতিমধ্যে ইনস্টল করা হুক এবং টাইমারগুলি বাতিল করবে না।
4. রিচার্জ ঠিকানা এবং লেনদেন স্বতন্ত্রভাবে যাচাই করুন। লোড বাস্তবায়নের পেজের জন্য, বিশ্বস্ত চ্যানেলের মাধ্যমে মূল রিচার্জ ঠিকানা, সংশ্লিষ্ট লেনদেন এবং প্রকৃত ট্রান্সফার লক্ষ্য যাচাই করুন এবং লেনদেনের রেকর্ডের ভিত্তিতে প্রভাব মূল্যায়ন করুন।
5. স্ক্রিপ্ট যাচাই এবং ডেটা এক্সপোর্ট সীমাবদ্ধতা। ব্যবসায়িক সেটিংয়ের সাথে স্ক্রিপ্ট উৎস এবং পূর্ণতা নিয়ন্ত্রণ একত্রিত করুন, connect-src, img-src ইত্যাদি নীতিগুলি যাচাই করুন, udeskqlobal[.]com-এর জন্য স্ক্রিপ্ট লোডিং এবং ডেটা বহির্গমন সীমাবদ্ধ করুন।

IOC

ডোমেইন

udeskqlobal[.]com

ইউআরএল

https[:]//udeskqlobal[.]com/deeps[.]js

https[:]//udeskqlobal[.]com/c[.]php

ওয়ালেট ঠিকানা

BTC: bc1qhzppfj69ywp22swj50jwcfxdamg3ym245srng9

ইভিএম: 0x9B6EcD0023a28E1391c5124eCe578A9751A337b2

TRON: TH4L5YAhhxtC8qALbZKbPZZgausbGi25nF

সলানা: AFmCUe3nNbjTaC585CcdA3vvC9iWVR8YunooFKpaQx2Z

LTC: ltc1qwz0zp39ywl34kahvn9lyk7j5x63wsy9tcxhm3w

DOGE: DAoy2w8uvFtZ92q87s9qKEoHbWgV7mVThj

ম্যালিশিয়াস ফাইল

ফাইলনাম: udeskApi.2026-10-16.cached.js

SHA256: 45b4e8f160d8d5177819f6c1dc67acc7abbdc65eeaffc909e668799dc778bcf6

ফাইলনাম: deeps.js

SHA256: 57c1441c4f5bb3260981a2df64f9ff35f117abde0d8667c8c66a047880074c59

মিস্টআই সম্পর্কে

MistEye হল SlowMist দ্বারা স্ব-উন্নয়নকৃত একটি Web3 হুমকি তথ্য এবং ডাইনামিক সিকিউরিটি মনিটরিং প্ল্যাটফর্ম, যা API এর মাধ্যমে ওপেন-সোর্স প্যাকেজ ইকোসিস্টেমের ক্ষতিকারক কার্যকলাপ শনাক্তকরণ এবং সাপ্লাই চেইন ঝুঁকির সতর্কবার্তা প্রদান করে।

এই অভিযানে জড়িত সমস্ত দুর্নীতিগ্রস্ত প্যাকেজ এবং IOC এখন MistEye হুমকি শনাক্তকরণ ইঞ্জিনে যুক্ত করা হয়েছে, যার মাধ্যমে ডেভেলপাররা API ব্যবহার করে প্রকল্পের নির্ভরশীলতা স্বয়ংক্রিয়ভাবে পরীক্ষা করতে পারবেন এবং পরিচিত দুর্নীতিগ্রস্ত প্যাকেজের সাথে মিল পাওয়ার সম্ভাবনা দ্রুত নির্ধারণ করে প্রতিক্রিয়ার পরামর্শ পাবেন।