SlowMist виявила шкідливий код у скриптах служби підтримки Udesk

ChainCatcher, згідно з інформацією SlowMist, їхні фахівці з безпеки під час регулярного аналізу інформації про загрози виявили, що сценарій, пов’язаний із системою служби підтримки Udesk, udeskApi.2026-10-16.cached.js, був заражений зловмисним завантажувачем. Цей завантажувач приховує адреси за допомогою шістнадцяткового кодування та асинхронно завантажує віддалений сценарій deeps.js (джерело — udeskqlobal[.]com; зверніть увагу, що домен починається на літеру q). Цей сценарій зчитує Cookie, localStorage та sessionStorage, доступні на сторінці, перехоплює запити форм, входу та автентифікації та надсилає дані на udeskqlobal[.]com/c.php. Зловмисники можуть використовувати це для імітації сесії або захоплення облікових записів. Ця дія збору даних не обмежена правилами цільового сайту — вплив може стосуватися навіть сторінок, які не відповідають певним критеріям. За аналізом SlowMist, цей сценарій також цілиться на три типи сайтів: mgbx[.]com, bikingex[.] та bitxex[.]io, скануючи сторінки поповнення кожні 200 мс і замінюючи виявлені адреси поповнення на передвизначені адреси BTC, EVM, TRON, Solana, LTC та DOGE. Крім того, сценарій обгортає API буфера обміну, замінює кнопки копіювання та перехоплює події копіювання, щоб користувач бачив і копіював лише підмінені адреси. Якщо користувач надішле кошти на цю адресу, кошти потраплять на адресу зловмисника.