SlowMist découvre un code malveillant dans les scripts de service client Udesk ciblant plusieurs plateformes

Selon Mars Finance, selon les informations divulguées par SlowMist, ses spécialistes de la sécurité ont détecté, lors d'une analyse quotidienne des menaces, qu'un script lié au système de service client Udesk, udeskApi.2026-10-16.cached.js, avait été infecté par un chargeur malveillant. Ce chargeur cache les adresses via un codage hexadécimal et charge de manière asynchrone un script distant, deeps.js (hébergé sur udeskqlobal[.]com — attention, le domaine commence par la lettre q). Ce script lit les cookies, localStorage et sessionStorage accessibles à la page, intercepte les demandes de formulaire ainsi que les requêtes de connexion et d'authentification, puis envoie les données à udeskqlobal[.]com/c.php. Les attaquants pourraient ainsi usurper des sessions ou prendre le contrôle des comptes. Ce comportement de collecte de données n'est pas limité par les règles du site cible : même les pages non ciblées peuvent être affectées. Selon SlowMist, ce script cible également trois types de sites : mgbx[.]com, bikingex[.] et bitxex[.]io, en balayant toutes les 200 millisecondes les pages de dépôt pour remplacer les adresses de dépôt identifiées par des adresses prédéfinies en BTC, EVM, TRON, Solana, LTC et DOGE. En outre, le script enveloppe l'API presse-papiers, remplace les boutons de copie et intercepte les événements de copie afin que l'utilisateur voie et copie uniquement des adresses falsifiées. Si un utilisateur effectue un virement vers l'une de ces adresses, les fonds seront transférés vers un compte contrôlé par l'attaquant.