SlowMist、複数のプラットフォームを対象としたUdeskカスタマーサービススクリプト内の悪意のあるコードを発見

火星財經の報道によると、慢霧が公開した情報によると、そのセキュリティ担当者は日常的な脅威インテリジェンスの調査中に、Udeskカスタマーサポートシステムに関連するスクリプト「udeskApi.2026-10-16.cached.js」に悪意のあるローダーが埋め込まれていることを発見しました。このローダーは、16進数でエンコードされたアドレスを隠蔽し、リモートスクリプト「deeps.js」（ソースは udeskqlobal[.]com、ドメイン名が文字「q」で始まることに注意）を非同期で読み込みます。このスクリプトは、ページにアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームおよびログイン・認証リクエストをインターセプトし、データを udeskqlobal[.]com/c.php に送信します。攻撃者はこれを利用してセッションを不正に使用したり、アカウントを乗っ取る可能性があります。このデータ収集行為は対象サイトのルールに制限されず、対応していないページにも影響を与える可能性があります。慢霧の分析によると、このスクリプトは mgbx[.]com、bikingex[.]、bitxex[.]io の3種類のサイトに対しても動作し、200ミリ秒ごとにチャージページをスキャンして、認識されたチャージアドレスを事前に設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。また、スクリプトはクリップボードAPIをラッピングし、コピーボタンを置き換え、コピーイベントをインターセプトすることで、ユーザーが表示・コピーするアドレスがすべて改ざんされたものになります。ユーザーがこの改ざんされたアドレスに送金した場合、資金は攻撃者のアドレスに流れます。