سلو ميسيت تكتشف سكربت خبيث في يوديسك يغير عناوين الإيداع

فريق الأمن السيبراني SlowMist حدد هجومًا يتضمن حقن كود JavaScript ضار في سكريبتات نظام خدمة العملاء Udesk. بناءً على تحليل ملفين، حدد الباحثون أن الكود يمكنه سرقة بيانات المستخدم واستبدال عناوين الإيداع على ثلاث منصات للعملات المشفرة.

قام المهاجمون بتضمين كود مخفي في النظام بشكل غير ملحوظ، والذي قام بتحميل السكريبت الضار deeps.js من نطاق مزيف udeskqlobal[.]com – يختلف عن الأصلي بحرف واحد فقط، q بدلاً من g.

كيف عمل السكريبت

عمل البرمجيات الخبيثة على عدة مراحل. أولاً، قرأ ملفات تعريف الارتباط للمتصفح، localStorage، وsessionStorage، محاولًا سرقة رموز التفويض النشطة: مما أتاح الوصول إلى حسابات المستخدمين بدون كلمة مرور. في الوقت نفسه، اعترض السكريبت كل ما أدخله الزوار في النماذج – الأسماء، كلمات المرور، رموز التأكيد، والبيانات من طلبات تسجيل الدخول أو التسجيل. تم إرسال المعلومات المجمعة إلى خادم المهاجمين؛ إذا تم حظر الإرسال القياسي بواسطة حماية المتصفح، قام الكود بتشفير البيانات وإرسالها في طلب لتحميل صورة عادية.

أشار SlowMist إلى تفصيلين. استخدام نافذة الدردشة بتنسيق iframe لم يحفظ المواقع: حيث لا يزال الكود الضار يصل إلى البيانات من الصفحة الرئيسية بأكملها. وجمع بيانات الاعتماد حدث على جميع الموارد التي تحتوي على ويدجت Udesk المتأثر، وليس فقط على المواقع المستهدفة الفردية.

استبدال العناوين واللوحة

كان هناك وحدة منفصلة مسؤولة عن استبدال عناوين الإيداع واعتراض النسخ. وفقًا لـ SlowMist، احتوى الكود على قواعد لثلاثة نطاقات: mgbx[.]com، bikingex[.] وbitxex[.]io. قام السكريبت بفحص عنوان URL للصفحة وعناصر الواجهة، ثم كل 200 مللي ثانية بحث عن عناوين الإيداع واستبدلها بالقيم التي حددها المهاجمون.

قدم الكود عناوين لستة أنواع من الأصول: BTC، شبكات متوافقة مع EVM، TRON، Solana، LTC، وDOGE. تم تحديد العناوين بواسطة أنماط الحروف، دون التحقق من الشبكة التي اختارها المستخدم أو غيرها من معايير المعاملة. هذا خلق خطر أن يقوم المستخدم بنسخ العنوان المستبدل ونقل الأموال مباشرة إلى المهاجمين.

تداخل السكريبت مع اللوحة بثلاث طرق: اعتراض استدعاءات واجهة برمجة التطبيقات للوحة، استبدال أزرار النسخ، وتغيير محتوى أحداث النسخ. ونتيجة لذلك، يمكن أن ينتهي الأمر بالعنوان المزيف في اللوحة حتى عندما يحاول المستخدم نسخ نص آخر.

حث SlowMist الشركات التي تستخدم السكريبتات المتأثرة على وقف توزيعها والتحقق من الأنظمة بحثًا عن علامات الاختراق. كما أوصى الباحثون بإلغاء بيانات الاعتماد المخترقة والتحقق من عناوين الإيداع مقابل بيانات الخادم الموثوقة وسجلات المعاملات.

في السابق، أبلغت شركة تصنيع محافظ العملات المشفرة Keystone عن تسرب بيانات العملاء.