SlowMist entdeckt bösartiges Skript in Udesk, das Einzahlungsadressen ändert

Das SlowMist-Cybersicherheitsteam hat einen Angriff identifiziert, bei dem bösartiger JavaScript-Code in die Skripte des Udesk-Kundendienstsystems injiziert wurde. Basierend auf der Analyse von zwei Dateien stellten die Forscher fest, dass der Code Benutzerdaten stehlen und Einzahlungsadressen auf drei Kryptowährungsplattformen ersetzen könnte.

Angreifer betteten unauffällig versteckten Code in das System ein, der das bösartige Skript deeps.js von einer gefälschten Domain udeskqlobal[.]com lud – nur ein Buchstabe unterschied sich vom Original, q statt g.

Wie das Skript funktionierte

Die Malware arbeitete in mehreren Phasen. Zuerst las sie die Cookies, localStorage und sessionStorage des Browsers aus und versuchte, aktive Autorisierungstoken zu stehlen: Dies ermöglichte den Zugriff auf Benutzerkonten ohne Passwort. Gleichzeitig fing das Skript alles ab, was Besucher in Formulare eingaben – Namen, Passwörter, Bestätigungscodes und Daten aus Anmelde- oder Registrierungsanfragen. Die gesammelten Informationen wurden an den Server der Angreifer gesendet; wenn das standardmäßige Senden durch den Browserschutz blockiert wurde, verschlüsselte der Code die Daten und sendete sie in einer Anfrage zum Laden eines regulären Bildes.

SlowMist bemerkte zwei Details. Die Verwendung eines Chatfensters im iframe-Format schützte die Seiten nicht: Der bösartige Code hatte weiterhin Zugriff auf Daten von der gesamten Hauptseite. Und die Sammlung von Anmeldedaten erfolgte auf allen Ressourcen mit dem betroffenen Udesk-Widget, nicht nur auf einzelnen gezielten Seiten.

Adressersetzung und Zwischenablage

Ein separates Modul war für das Ersetzen von Einzahlungsadressen und das Abfangen von Kopiervorgängen verantwortlich. Laut SlowMist enthielt der Code Regeln für drei Domains: mgbx[.]com, bikingex[.] und bitxex[.]io. Das Skript überprüfte die Seiten-URL und die Schnittstellenelemente und suchte dann alle 200 Millisekunden nach Einzahlungsadressen und ersetzte sie durch von den Angreifern festgelegte Werte.

Der Code stellte Adressen für sechs Arten von Assets bereit: BTC, EVM-kompatible Netzwerke, TRON, Solana, LTC und DOGE. Adressen wurden durch Zeichenmuster bestimmt, ohne das vom Benutzer ausgewählte Netzwerk oder andere Transaktionsparameter zu überprüfen. Dies schuf ein Risiko, dass der Benutzer die ersetzte Adresse kopierte und Gelder direkt an die Angreifer übertrug.

Das Skript störte die Zwischenablage auf drei Arten: Abfangen von Clipboard-API-Aufrufen, Ersetzen von Kopierknöpfen und Ändern des Inhalts von Kopierereignissen. Dadurch konnte die gefälschte Adresse in der Zwischenablage landen, selbst wenn der Benutzer versuchte, anderen Text zu kopieren.

SlowMist forderte Unternehmen, die die betroffenen Skripte verwenden, auf, deren Verbreitung einzustellen und Systeme auf Anzeichen von Kompromittierung zu überprüfen. Forscher empfahlen auch, kompromittierte Anmeldedaten zu widerrufen und Einzahlungsadressen mit zuverlässigen Serverdaten und Transaktionsaufzeichnungen zu überprüfen.

Zuvor hatte der Hersteller von Hardware-Krypto-Wallets, Keystone, ein Datenleck bei Kunden gemeldet.