SlowMist обнаружила вредоносный код в скриптах службы поддержки Udesk

ChainCatcher сообщает, что по данным SlowMist, его сотрудники по безопасности при ежедневном анализе угроз обнаружили, что скрипт, связанный с системой клиентской поддержки Udesk — udeskApi.2026-10-16.cached.js, был заражен вредоносным загрузчиком. Этот загрузчик скрывает адреса с помощью шестнадцатеричного кодирования и асинхронно загружает удаленный скрипт deeps.js (источник — udeskqlobal[.]com; обратите внимание, что домен начинается с буквы q). Скрипт считывает Cookie, localStorage и sessionStorage, доступные на странице, перехватывает запросы форм, входа и аутентификации, а затем отправляет данные на udeskqlobal[.]com/c.php; злоумышленники могут использовать это для подмены сессий или захвата учетных записей. Сбор данных осуществляется вне ограничений правил целевого сайта, и даже страницы, не соответствующие шаблону, могут быть затронуты. По анализу SlowMist, скрипт также нацелен на три типа сайтов: mgbx[.]com, bikingex[.] и bitxex[.]io, каждые 200 миллисекунд сканируя страницы пополнения и заменяя обнаруженные адреса пополнения на предустановленные адреса BTC, EVM, TRON, Solana, LTC и DOGE. Кроме того, скрипт обертывает API буфера обмена, заменяет кнопки копирования и перехватывает события копирования, чтобы пользователь видел и копировал только измененные адреса. Если пользователь отправит средства на этот адрес, средства поступят на адрес злоумышленника.