慢雾专家披露Udesk数据泄露及加密地址伪造

SlowMist 的网络安全团队在分析两个文件时发现，用于 Udesk 客户支持系统的脚本中被注入了恶意 JavaScript。

SlowMist 表示，这些代码可能窃取凭证及其他用户数据，而另一个模块则可能替换三个平台上的加密货币充值地址并篡改剪贴板内容。

研究人员敦促受影响公司停止分发遭入侵的脚本、撤销已暴露的凭证，并根据可信数据核验充值地址。

SlowMist 的网络安全团队在分析两个与 Udesk 客户支持系统相关的文件时发现了此次攻击。上述发现之所以重要，是因为 SlowMist 表示，被注入的代码可能从使用遭入侵小组件的网站窃取登录信息及其他用户数据，同时还会重定向三个平台上的加密货币充值。

据 SlowMist 称，攻击者秘密植入了可从伪造域名 udeskqlobal[.]com 加载名为 deeps.js 的恶意脚本的代码。该域名与原始域名仅相差一个字母，以“q”替代了“g”。

该恶意软件分多个阶段运行。它首先读取浏览器 Cookie，以及 localStorage 和 sessionStorage 中的数据，试图窃取仍有效的授权令牌，这可能使攻击者无需输入密码即可访问用户账户。

与此同时，SlowMist 表示，该脚本会拦截访问者在网站表单中输入的信息。收集的数据包括姓名、密码、验证码，以及通过登录或注册请求提交的信息。

该脚本会将信息发送至攻击者的服务器。研究人员称，如果浏览器保护机制阻止常规传输，代码会通过将数据加密后嵌入加载普通图片的请求中进行混淆。

SlowMist 表示，在 iframe 中显示聊天窗口并不能保护网站，因为恶意代码仍可访问整个主页面的数据。研究人员还表示，凭证窃取发生在安装了遭入侵 Udesk 小组件的所有资源上，而不仅限于被专门锁定的平台。

充值地址和剪贴板篡改

SlowMist 表示，另一个模块负责替换充值地址并拦截复制操作。代码中包含针对三个域名的规则：mgbx[.]com、bikingex[.] 和 bitxex[.]io。

该脚本会检查页面 URL 和相关界面元素，随后每 200 毫秒搜索一次充值地址，并将其替换为攻击者指定的地址。

代码中包含六类资产的地址：BTC、兼容 EVM 的网络、TRON、Solana、LTC 和 DOGE。它通过字符模式识别地址，但不会验证用户所选网络或其他交易参数。

SlowMist 表示，这一过程可能导致用户复制伪造地址，并将资金直接发送给攻击者。

该脚本还会通过三种方式干扰剪贴板操作：拦截 Clipboard API 调用、替换复制按钮，以及修改复制事件的内容。SlowMist 称，因此，即使用户尝试复制其他文本，剪贴板中也可能出现伪造地址。

加密货币硬件钱包制造商 Keystone 此前曾报告客户数据泄露事件。