SlowMist нашла вредоносный JavaScript в Udesk: утечка данных и подмена адресов пополнения

Специалисты по безопасности SlowMist обнаружили вредоносный код в Udesk — стороннем сервисе техподдержки, который подключают к своим сайтам криптобиржи и другие площадки. Код мог незаметно подменять криптоадреса для пополнения и красть данные пользователей.

Для такой атаки взламывать саму биржу не нужно. Достаточно скомпрометировать подключённый сервис: пользователь копирует адрес из привычного интерфейса, но перевод уходит злоумышленникам. То есть сайт может оставаться настоящим, а реквизиты для перевода — подставными. Проверить адрес на принадлежность к санкционным и скам-спискам можно в проверке кошелька.

По результатам анализа двух файлов SlowMist установила механику: в систему внедрили скрытый код, который загружал вредоносный скрипт deeps.js с фейкового домена udeskqlobal[.]com — он отличался от настоящего всего одной буквой, q вместо g. Скрипт считывал cookies, localStorage и sessionStorage браузера, пытаясь похитить токены авторизации, чтобы заходить в аккаунты без пароля, и перехватывал всё, что вводили в формы: имена, пароли, коды подтверждения, данные запросов на вход и регистрацию. Собранное уходило на сервер злоумышленников; если отправку блокировала защита браузера, данные шифровались и уходили в запросе на загрузку обычной картинки.

Отдельный модуль отвечал за подмену адресов депозитов и перехват копирования. По данным SlowMist, в коде были правила для трёх доменов: mgbx[.]com, bikingex[.]com и bitxex[.]io. Скрипт проверял URL страницы и элементы интерфейса, после чего каждые 200 миллисекунд искал адреса пополнения и заменял их на заданные злоумышленниками. Были предусмотрены адреса для шести типов активов: BTC, EVM-совместимых сетей, TRON, Solana, LTC и DOGE. Определение шло по шаблонам символов, без проверки выбранной сети и прочих параметров транзакции. Скрипт также вмешивался в буфер обмена — перехватывал вызовы Clipboard API, заменял кнопки копирования и менял содержимое события копирования.

Использование окна чата в формате iframe площадки не защищало: вредоносный код всё равно получал доступ к данным основной страницы. Сбор учётных данных шёл на всех ресурсах с поражённым виджетом Udesk, а не только на целевых.

SlowMist призвала компании, которые используют поражённые скрипты, прекратить их распространение, проверить системы на признаки компрометации, отозвать скомпрометированные учётные данные и сверять адреса депозитов по надёжным серверным данным и записям транзакций.

Какие именно площадки затронуты и сколько средств могло быть потеряно, SlowMist не раскрыла. Дата обнаружения кода тоже не названа.