Медленный туман: скрипт обслуживания клиентов Udesk был заражен вредоносным кодом, который может украсть данные сеансов пользователей и заменить адрес пополнения

Согласно информации от Slow Fog, их сотрудники по безопасности в ходе регулярной проверки угроз обнаружили, что скрипт, связанный с системой обслуживания клиентов Udesk, udeskApi.2026-10-16.cached.js, был внедрен в вредоносный загрузчик. Этот загрузчик скрывает адрес с помощью шестнадцатеричного кодирования и асинхронно загружает удаленный скрипт deeps.js (источник udeskqlobal[.]com, обратите внимание, что доменное имя начинается с буквы q). Этот скрипт считывает доступные на странице Cookie, localStorage и sessionStorage, а также перехватывает запросы форм и аутентификации, отправляя данные на udeskqlobal[.]com/c.php; злоумышленник может использовать это для захвата сессии или аккаунта. Действия по сбору данных не ограничены правилами целевого сайта, и неподходящие страницы также могут быть затронуты.

По анализу Slow Fog, этот скрипт также нацелен на три типа сайтов: mgbx[.]com, bikingex[.] и bitxex[.]io, сканируя страницы пополнения каждые 200 миллисекунд и заменяя распознанные адреса пополнения на предустановленные адреса BTC, EVM, TRON, Solana, LTC и DOGE. В то же время, скрипт, оборачивая API буфера обмена, заменяет кнопки копирования и перехватывает события копирования, так что пользователи видят и копируют только измененные адреса. Если пользователь переведет средства по этому адресу, деньги поступят на адрес злоумышленника.