SlowMist виявила шкідливий код у сценаріях служби підтримки Udesk, що націлений на кілька платформ

За повідомленням Mars Finance, за даними SlowMist, його фахівці з безпеки під час регулярного аналізу інформації про загрози виявили, що до скрипту, пов’язаного з системою служби підтримки Udesk, udeskApi.2026-10-16.cached.js, було вставлено зловмисний завантажувач. Цей завантажувач приховує адреси за допомогою шістнадцяткового кодування та асинхронно завантажує віддалений скрипт deeps.js (джерело — udeskqlobal[.]com; зверніть увагу, що домен починається на літеру q). Цей скрипт читає Cookie, localStorage та sessionStorage, доступні на сторінці, перехоплює запити форм, входу та автентифікації та надсилає дані на udeskqlobal[.]com/c.php; зловмисники можуть використовувати це для підробки сеансу або захоплення облікового запису. Ця дія збору даних не підкоряється правилам цільового сайту — вплив може стосуватися й сторінок, які не відповідають критеріям. За аналізом SlowMist, цей скрипт також цілиться на три типи сайтів: mgbx[.]com, bikingex[.] та bitxex[.]io, скануючи сторінки поповнення кожні 200 мілісекунд і замінюючи виявлені адреси поповнення на передвизначені адреси BTC, EVM, TRON, Solana, LTC та DOGE. Крім того, скрипт обгортає API буфера обміну, замінює кнопки копіювання та перехоплює події копіювання, щоб користувач бачив і копіював лише підроблені адреси. Якщо користувач надішле кошти на цю адресу, кошти потраплять на адресу зловмисника.