SlowMist descobre código malicioso em scripts de atendimento ao cliente da Udesk que visam múltiplas plataformas

Mars Finance relata que, segundo divulgação da SlowMist, seus especialistas em segurança descobriram, durante investigações regulares de inteligência de ameaças, que o script relacionado ao sistema de atendimento ao cliente Udesk, udeskApi.2026-10-16.cached.js, foi infectado com um carregador malicioso. Esse carregador oculta endereços por meio de codificação hexadecimal e carrega assincronamente um script remoto chamado deeps.js (proveniente de udeskqlobal[.]com — observe que o domínio começa com a letra q). Esse script lê cookies, localStorage e sessionStorage acessíveis na página, intercepta requisições de formulários, login e autenticação, e envia os dados para udeskqlobal[.]com/c.php, permitindo que os atacantes assumam sessões ou controlem contas. Essa coleta de dados não está sujeita às regras do site-alvo, podendo afetar páginas que não correspondam ao padrão. Segundo análise da SlowMist, o script também alvo sites mgbx[.]com, bikingex[.] e bitxex[.]io, escaneando a cada 200 milissegundos as páginas de recarga e substituindo os endereços de recarga identificados por endereços pré-definidos de BTC, EVM, TRON, Solana, LTC e DOGE. Além disso, o script encapsula a API da área de transferência, substitui botões de cópia e intercepta eventos de cópia, fazendo com que os usuários vejam e copiem apenas endereços manipulados. Se os usuários realizarem transferências para esses endereços, os fundos serão direcionados para contas dos atacantes.