SlowMist découvre un code malveillant dans les scripts de service client Udesk

ChainCatcher rapporte, selon les informations de SlowMist, que ses équipes de sécurité ont détecté, lors d'une analyse régulière des menaces, un chargeur malveillant intégré dans le script lié au système de service client Udesk : udeskApi.2026-10-16.cached.js. Ce chargeur cache les adresses via un codage hexadécimal et charge de manière asynchrone un script distant nommé deeps.js (hébergé sur udeskqlobal[.]com — attention, le domaine commence par la lettre q). Ce script extrait les cookies, localStorage et sessionStorage accessibles à la page, intercepte les requêtes de formulaire ainsi que les demandes de connexion et d'authentification, puis envoie les données à udeskqlobal[.]com/c.php. Les attaquants pourraient ainsi usurper des sessions ou prendre le contrôle des comptes. Ce comportement de collecte de données n'est pas limité par les règles du site cible : même les pages non ciblées peuvent être affectées. Selon SlowMist, ce script cible également trois types de sites : mgbx[.]com, bikingex[.] et bitxex[.]io, en balayant toutes les 200 millisecondes les pages de dépôt pour remplacer les adresses de dépôt identifiées par des adresses prédéfinies en BTC, EVM, TRON, Solana, LTC et DOGE. Par ailleurs, le script emmaillote l'API du presse-papiers, remplace les boutons de copie et intercepte les événements de copie afin que l'utilisateur voie et copie uniquement des adresses altérées. Si un utilisateur effectue un virement vers l'une de ces adresses, les fonds seront transférés vers un compte contrôlé par l'attaquant.