SlowMist、Udeskカスタマーサービススクリプトに悪意のあるコードを発見

ChainCatcherの情報によると、慢霧は日常的な脅威インテリジェンスの調査中に、Udeskカスタマーサポートシステムに関連するスクリプト「udeskApi.2026-10-16.cached.js」に悪意のあるローダーが埋め込まれていることを発見しました。このローダーは、16進数でエンコードされたアドレスを隠蔽し、リモートスクリプト「deeps.js」（ソースは udeskqlobal[.]com、ドメイン名は文字「q」で始まることに注意）を非同期で読み込みます。このスクリプトは、ページからアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームやログイン・認証リクエストをインターセプトし、そのデータを udeskqlobal[.]com/c.php に送信します。攻撃者はこれを利用してセッションを不正に使用したり、アカウントを乗っ取る可能性があります。このデータ収集行為は対象サイトのルールに制限されず、対象外のページにも影響を与える可能性があります。慢霧の分析によると、このスクリプトは mgbx[.]com、bikingex[.]、bitxex[.]io の3種類のサイトにも対応しており、200ミリ秒ごとにチャージページをスキャンし、検出されたチャージアドレスを事前に設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。また、スクリプトはクリップボードAPIをラッピングし、コピーボタンを置き換え、コピーイベントをインターセプトすることで、ユーザーが表示・コピーするアドレスがすべて改ざんされたものになります。ユーザーがこの改ざんされたアドレスに送金した場合、資金は攻撃者のアドレスに流れます。