A equipe de cibersegurança da SlowMist descobriu o ataque ao analisar dois arquivos ligados ao sistema de suporte ao cliente Udesk. As descobertas são relevantes porque, segundo a SlowMist, o código injetado poderia roubar dados de login e outros dados de usuários em sites que utilizavam o widget comprometido, além de redirecionar depósitos de criptomoedas em três plataformas.

Segundo a SlowMist, os invasores incorporaram de forma oculta um código que carregava um script malicioso chamado deeps.js a partir do domínio falso udeskqlobal[.]com. O domínio diferia do original por uma letra, usando “q” em vez de “g”.

O malware operava em várias etapas. Primeiro, ele lia cookies do navegador e dados de localStorage e sessionStorage em uma tentativa de roubar tokens de autorização ativos, o que poderia permitir que invasores acessassem contas de usuários sem inserir uma senha.

Ao mesmo tempo, o script interceptava informações inseridas por visitantes em formulários de sites, disse a SlowMist. Os dados coletados incluíam nomes, senhas, códigos de verificação e informações enviadas por meio de solicitações de login ou cadastro.

O script enviava as informações ao servidor dos invasores. Se as proteções do navegador bloqueassem a transmissão padrão, o código usava ofuscação ao criptografar os dados dentro de uma solicitação para carregar uma imagem comum, segundo os pesquisadores.

A SlowMist disse que exibir a janela de chat em um iframe não protegia os sites, porque o código malicioso ainda podia acessar dados de toda a página principal. Os pesquisadores também disseram que a coleta de credenciais ocorreu em todos os recursos nos quais o widget comprometido da Udesk estava instalado, e não apenas em plataformas especificamente visadas.

Manipulação de endereços de depósito e da área de transferência

Um módulo separado lidava com a substituição de endereços de depósito e interceptava operações de cópia, disse a SlowMist. O código continha regras para três domínios: mgbx[.]com, bikingex[.], e bitxex[.]io.

O script verificava a URL da página e elementos relevantes da interface, depois buscava endereços de depósito a cada 200 milissegundos e os substituía por endereços especificados pelos invasores.

O código incluía endereços para seis tipos de ativos: BTC, redes compatíveis com EVM, TRON, Solana, LTC e DOGE. Ele identificava endereços por meio de padrões de caracteres, sem verificar a rede selecionada pelo usuário ou outros parâmetros da transação.

A SlowMist disse que o processo criava o risco de usuários copiarem endereços falsificados e enviarem fundos diretamente aos invasores.

O script também interferia nas operações da área de transferência de três formas: interceptando chamadas da API Clipboard, substituindo botões de cópia e modificando o conteúdo de eventos de cópia. Como resultado, um endereço falso poderia aparecer na área de transferência mesmo quando um usuário tentasse copiar outro texto, segundo a SlowMist.

Recomendações

Os pesquisadores pediram que as empresas afetadas interrompessem a distribuição dos scripts comprometidos, revogassem credenciais expostas e verificassem os endereços de depósito com base em dados confiáveis.

A fabricante de carteiras de hardware para criptomoedas Keystone havia relatado anteriormente um vazamento de dados de clientes.

Fonte: HODL Press