SlowMist descobre código malicioso em scripts de atendimento ao cliente da Udesk

ChainCatcher relata que, segundo divulgação da SlowMist, seus especialistas em segurança descobriram, durante investigações regulares de inteligência de ameaças, que o script relacionado ao sistema de atendimento ao cliente Udesk, udeskApi.2026-10-16.cached.js, foi comprometido com um carregador malicioso. Esse carregador oculta endereços por meio de codificação hexadecimal e carrega assincronamente um script remoto chamado deeps.js (proveniente de udeskqlobal[.]com — observe que o domínio começa com a letra q). Esse script lê cookies, localStorage e sessionStorage acessíveis na página, intercepta requisições de formulários, login e autenticação, e envia os dados para udeskqlobal[.]com/c.php, permitindo que os atacantes possam assumir sessões ou controlar contas. Essa coleta de dados não está sujeita às regras do site-alvo, podendo afetar páginas que não correspondam diretamente ao alvo. Segundo análise da SlowMist, o script também visa três tipos de sites: mgbx[.]com, bikingex[.] e bitxex[.]io, escaneando as páginas de recarga a cada 200 milissegundos e substituindo os endereços de recarga identificados por endereços pré-definidos de BTC, EVM, TRON, Solana, LTC e DOGE. Além disso, o script encapsula a API da área de transferência, substitui botões de cópia e intercepta eventos de cópia, fazendo com que os usuários vejam e copiem apenas endereços alterados. Se os usuários realizarem transferências para esses endereços, os fundos serão direcionados para contas dos atacantes.