Natuklasan ng SlowMist ang masamang code sa mga script ng customer service ng Udesk na naglalayon sa maraming platform

Ayon sa Mars Finance, ayon sa paglalabas ng SlowMist, ang kanilang mga tagapag-ingat ay nakakita ng isang masamang loader na ipinapaloob sa iskrip na udeskApi.2026-10-16.cached.js na kaugnay sa Udesk customer service system. Ang loader na ito ay nagtatago ng mga address sa pamamagitan ng hexadecimal encoding at nag-aasynchronous na naglo-load ng remote script na deeps.js (pinagmulan: udeskqlobal[.]com, tandaan na ang domain ay nagsisimula sa titik q). Ang iskrip na ito ay nakakabasa ng Cookie, localStorage, at sessionStorage na ma-access ng pahina, at nag-iintercept ng mga form at mga request na may kinalaman sa login at authentication, at ipinapadala ang data sa udeskqlobal[.]com/c.php; maaaring gamitin ng mga attacker ang ganitong paraan upang magmukhang sila ay may awtoridad sa sesyon o kumuha ng kontrol sa account. Ang pagkolekta ng data na ito ay hindi nakasalalay sa mga patakaran ng target site, at maaaring maapektuhan din ang mga pahina na hindi sumasalungat. Ayon sa pagsusuri ng SlowMist, ang iskrip na ito ay naglalayon din sa tatlong uri ng site: mgbx[.]com, bikingex[.], at bitxex[.]io, at sinascan ang mga pahina ng deposito bawat 200 milyosekundo, at binabago ang mga natuklasang deposito address sa mga nakapaghanda na BTC, EVM, TRON, Solana, LTC, at DOGE address. Samantala, ipinapalit ng iskrip ang clipboard API, ang mga button ng copy, at nag-iintercept ng mga event ng copy upang ang mga user ay makakita at makakopya lamang ng mga pinagbagoang address. Kung magtatransfer ang isang user gamit ang address na ito, pupunta ang pera sa address ng attacker.