SlowMist нашла вредоносный скрипт в Udesk, подменявший адреса депозитов

Команда по кибербезопасности SlowMist выявила атаку, связанную с инъекцией вредоносного JavaScript-кода в скрипты системы обслуживания клиентов Udesk. По результатам анализа двух файлов исследователи установили, что код мог похищать данные пользователей, а также подменять адреса для пополнения счетов на трех криптовалютных платформах.

Злоумышленники незаметно внедрили в систему скрытый код, который загружал вредоносный скрипт deeps.js с фейкового домена udeskqlobal[.]com – он отличался от оригинала всего одной буквой, q вместо g.

Как работал скрипт

Вредоносное ПО действовало в несколько этапов. Сначала оно считывало cookies, localStorage и sessionStorage браузера, пытаясь похитить активные токены авторизации: это позволяло входить в аккаунты пользователей без пароля. Параллельно скрипт перехватывал все, что посетители вводили в формы, – имена, пароли, коды подтверждения и данные из запросов на вход или регистрацию. Собранные сведения отправлялись на сервер злоумышленников; если стандартную отправку блокировала защита браузера, код шифровал данные и отправлял их в запросе на загрузку обычной картинки.

SlowMist обратила внимание на две детали. Использование окна чата в формате iframe не спасло сайты: вредоносный код все равно получал доступ к данным всей основной страницы. А сбор учетных данных происходил на всех ресурсах с пораженным виджетом Udesk, а не только на отдельных целевых площадках.

Подмена адресов и буфер обмена

Отдельный модуль отвечал за замену адресов пополнения и перехват копирования. По данным SlowMist, в коде были правила для трех доменов: mgbx[.]com, bikingex[.] и bitxex[.]io. Скрипт проверял URL страницы и элементы интерфейса, после чего каждые 200 миллисекунд искал адреса депозитов и заменял их на заданные злоумышленниками значения.

В коде были предусмотрены адреса для шести типов активов: BTC, EVM-совместимых сетей, TRON, Solana, LTC и DOGE. Адреса определялись по шаблонам символов, без проверки выбранной пользователем сети или других параметров транзакции. Это создавало риск, что пользователь скопирует подмененный адрес и переведет средства напрямую злоумышленникам.

Скрипт вмешивался в буфер обмена тремя способами: перехватывал вызовы Clipboard API, заменял кнопки копирования и изменял содержимое события копирования. Из-за этого поддельный адрес мог попасть в буфер даже тогда, когда пользователь пытался скопировать другой текст.

SlowMist призвала компании, использующие пораженные скрипты, прекратить их распространение и проверить системы на признаки компрометации. Исследователи также рекомендовали отозвать скомпрометированные учетные данные и проверять адреса депозитов по надежным серверным данным и записям транзакций.

Ранее производитель аппаратных криптокошельков Keystone сообщил об утечке данных клиентов.