- Шкідливий JavaScript збирав cookies, дані вебсховищ і вміст форм, зокрема інформацію для входу в облікові записи Udesk, заявили у SlowMist.
- На трьох криптоплатформах скрипт міг підмінювати адреси депозитів і змінювати вміст буфера обміну.
Команда з кібербезпеки SlowMist виявила атаку, пов’язану з ін’єкцією шкідливого JavaScript-коду в скрипти системи обслуговування клієнтів Udesk. За результатами аналізу двох файлів дослідники встановили, що код міг викрадати дані користувачів, а також підмінювати адреси для поповнення рахунків на окремих криптовалютних платформах.
Дослідники SlowMist зазначили, що зловмисники непомітно впровадили в систему прихований код, який завантажував шкідливий скрипт deeps.js із фейкового домену udeskqlobal[.]com (останній відрізнявся від оригіналу лише однією літерою — q замість g).
Шкідливе програмне забезпечення працювало у декілька етапів. Спочатку воно зчитувало дані cookies, localStorage та sessionStorage браузера, намагаючись викрасти активні токени авторизації, що дозволяло хакерам заходити в акаунти користувачів без введення пароля. Паралельно скрипт перехоплював будь-яку інформацію, яку відвідувачі вводили у форми на сайті — зокрема імена, паролі, коди підтвердження та дані з запитів на вхід чи реєстрацію.
Усі зібрані відомості надсилалися на сервер зловмисників. Якщо ж стандартна відправка блокувалася захистом браузера, код використовував маскування — надсилав дані, зашифровані у запиті на завантаження звичайної картинки.
Аналітики SlowMist звернули увагу на дві деталі. По-перше, використання вікна чату у форматі iframe не врятувало сайти, оскільки шкідливий код все одно отримував доступ до даних всієї основної сторінки. По-друге, збір облікових даних відбувався абсолютно на всіх ресурсах, де був встановлений уражений виджет Udesk, а не лише на окремих цільових майданчиках.
Хто міг постраждати?
У заяві йдеться, що окремий модуль шкідливого скрипту відповідав за заміну адрес для поповнення рахунків і перехоплення операцій копіювання. За даними SlowMist, у коді були правила для трьох доменів: mgbx[.]com, bikingex[.] і bitxex[.]io.
Скрипт перевіряв URL сторінки та відповідні елементи інтерфейсу, після чого кожні 200 мілісекунд шукав адреси депозитів і замінював їх на задані зловмисниками значення.
У коді були передбачені адреси для шести типів активів: BTC, EVM-сумісних мереж, TRON, Solana, LTC і DOGE. Визначення адрес відбувалося за шаблонами символів, без перевірки обраної користувачем мережі чи інших параметрів транзакції.
Це створювало ризик, що користувач скопіює підмінену адресу й переказуватиме кошти безпосередньо зловмисникам.
Скрипт також втручався в роботу буфера обміну трьома способами: перехоплював виклики Clipboard API, замінював кнопки копіювання та змінював вміст події копіювання. Через це підроблена адреса могла потрапляти в буфер обміну навіть тоді, коли користувач намагався скопіювати інший текст, йдеться в заяві.
За підсумками дослідження SlowMist закликала компанії, які використовують уражені скрипти, припинити їх розповсюдження та перевірити системи на ознаки компрометації.
Також дослідники рекомендували відкликати скомпрометовані облікові дані й перевіряти адреси депозитів за надійними серверними даними та записами транзакцій.
Нагадаємо, раніше виробник апаратних криптогаманців Keystone повідомив про витік даних клієнтів.
Сообщение Експерти SlowMist заявили про витік даних та підміну криптоадрес в Udesk появились сначала на INCRYPTED.
