Эксперты SlowMist заявили об утечке данных и подмене криптоадрес в Udesk

• Вредоносный JavaScript собирал cookies, данные веб-хранилищ и содержимое форм, включая информацию для входа в учетные записи Udesk, заявили в SlowMist.
• На трех криптоплатформах скрипт мог подменять адреса депозитов и менять содержимое буфера обмена.

Команда по кибербезопасности SlowMist выявила атаку, связанную с инъекцией вредоносного JavaScript-кода в скрипты системы обслуживания клиентов Udesk. По результатам анализа двух файлов исследователи установили, что код мог похищать данные пользователей, а также подменять адреса для пополнения счетов на отдельных криптовалютных платформах.

Исследователи SlowMist отметили, что злоумышленники незаметно внедрили в систему скрытый код, который загружал вредоносный скрипт deeps.js с фейкового домена udeskqlobal[.]com (последний отличался от оригинала всего одной буквой — q вместо g).

Вредоносное программное обеспечение работало в несколько этапов. Сначала оно считывало данные cookies, localStorage и sessionStorage браузера, пытаясь похитить активные токены авторизации, что позволяло хакерам заходить в аккаунты пользователей без ввода пароля. Параллельно скрипт перехватывал любую информацию, которую посетители вводили в формы на сайте — в частности имена, пароли, коды подтверждения и данные из запросов на вход или регистрацию.

Все собранные сведения отправлялись на сервер злоумышленников. Если же стандартная отправка блокировалась защитой браузера, код использовал маскировку — отправлял данные, зашифрованные в запросе на загрузку обычной картинки.

Аналитики SlowMist обратили внимание на две детали. Во-первых, использование окна чата в формате iframe не спасло сайты, поскольку вредоносный код все равно получал доступ к данным всей основной страницы. Во-вторых, сбор учетных данных происходил абсолютно на всех ресурсах, где был установлен пораженный виджет Udesk, а не только на отдельных целевых площадках.

Кто мог пострадать?

В заявлении говорится, что отдельный модуль вредоносного скрипта отвечал за замену адресов для пополнения счетов и перехват операций копирования. По данным SlowMist, в коде были правила для трех доменов: mgbx[.]com, bikingex[.] и bitxex[.]io.

Скрипт проверял URL страницы и соответствующие элементы интерфейса, после чего каждые 200 миллисекунд искал адреса депозитов и заменял их на заданные злоумышленниками значения.

В коде были предусмотрены адреса для шести типов активов: BTC, EVM-совместимых сетей, TRON, Solana, LTC и DOGE. Определение адресов происходило по шаблонам символов, без проверки выбранной пользователем сети или других параметров транзакции.

Это создавало риск, что пользователь скопирует подмененный адрес и будет переводить средства напрямую злоумышленникам.

Скрипт также вмешивался в работу буфера обмена тремя способами: перехватывал вызовы Clipboard API, заменял кнопки копирования и изменял содержимое события копирования. Из-за этого поддельный адрес мог попадать в буфер обмена даже тогда, когда пользователь пытался скопировать другой текст, говорится в заявлении.

По итогам исследования SlowMist призвала компании, которые используют пораженные скрипты, прекратить их распространение и проверить системы на признаки компрометации.

Также исследователи рекомендовали отозвать скомпрометированные учетные данные и проверять адреса депозитов по надежным серверным данным и записям транзакций. 

Напомним, ранее производитель аппаратных криптокошельков Keystone сообщил об утечке данных клиентов.