Das Cybersicherheitsteam von SlowMist entdeckte bei der Analyse zweier Dateien, dass bösartiges JavaScript in Skripte eingeschleust worden war, die vom Udesk-Kundensupportsystem verwendet werden.

SlowMist zufolge konnte der Code Zugangsdaten und andere Nutzerdaten stehlen, während ein separates Modul auf drei Plattformen Einzahlungsadressen für Kryptowährungen ersetzen und Zwischenablageinhalte verändern konnte.

Die Forscher forderten betroffene Unternehmen auf, die Verbreitung der kompromittierten Skripte einzustellen, offengelegte Zugangsdaten zu widerrufen und Einzahlungsadressen anhand vertrauenswürdiger Daten zu überprüfen.

Das Cybersicherheitsteam von SlowMist entdeckte den Angriff bei der Analyse zweier Dateien, die mit dem Udesk-Kundensupportsystem verknüpft waren. Die Erkenntnisse sind relevant, weil der eingeschleuste Code laut SlowMist Anmeldedaten und andere Nutzerdaten auf Websites stehlen konnte, die das kompromittierte Widget nutzten, und zugleich Kryptowährungseinzahlungen auf drei Plattformen umleiten konnte.

Laut SlowMist betteten Angreifer heimlich Code ein, der ein bösartiges Skript namens deeps.js von der gefälschten Domain udeskqlobal[.]com lud. Die Domain unterschied sich vom Original um einen Buchstaben und verwendete „q“ statt „g“.

Die Schadsoftware arbeitete in mehreren Phasen. Zunächst las sie Browser-Cookies sowie Daten aus localStorage und sessionStorage aus, um aktive Autorisierungstokens zu stehlen, die Angreifern den Zugriff auf Nutzerkonten ohne Passworteingabe ermöglichen könnten.

Gleichzeitig fing das Skript laut SlowMist Informationen ab, die Besucher in Website-Formulare eingaben. Zu den gesammelten Daten gehörten Namen, Passwörter, Verifizierungscodes und Informationen, die über Anmelde- oder Registrierungsanfragen übermittelt wurden.

Das Skript übermittelte die Informationen an den Server der Angreifer. Wenn Browser-Schutzmechanismen die Standardübertragung blockierten, verschleierte der Code die Daten laut den Forschern, indem er sie in einer Anfrage zum Laden eines gewöhnlichen Bildes verschlüsselte.

SlowMist zufolge schützte die Anzeige des Chatfensters in einem iframe Websites nicht, da der bösartige Code weiterhin auf Daten der gesamten Hauptseite zugreifen konnte. Die Forscher erklärten zudem, dass das Abgreifen von Zugangsdaten auf allen Ressourcen erfolgte, auf denen das kompromittierte Udesk-Widget installiert war, und nicht nur auf gezielt angegriffenen Plattformen.

Manipulation von Einzahlungsadressen und Zwischenablage

Ein separates Modul ersetzte laut SlowMist Einzahlungsadressen und fing Kopiervorgänge ab. Der Code enthielt Regeln für drei Domains: mgbx[.]com, bikingex[.], und bitxex[.]io.

Das Skript prüfte die Seiten-URL und relevante Oberflächenelemente, suchte anschließend alle 200 Millisekunden nach Einzahlungsadressen und ersetzte diese durch von den Angreifern festgelegte Adressen.

Der Code enthielt Adressen für sechs Asset-Typen: BTC, EVM-kompatible Netzwerke, TRON, Solana, LTC und DOGE. Er identifizierte Adressen anhand von Zeichenmustern, ohne das vom Nutzer ausgewählte Netzwerk oder andere Transaktionsparameter zu überprüfen.

SlowMist zufolge entstand dadurch das Risiko, dass Nutzer gefälschte Adressen kopieren und Gelder direkt an die Angreifer senden könnten.

Das Skript störte zudem Zwischenablagevorgänge auf drei Arten: durch das Abfangen von Clipboard-API-Aufrufen, das Ersetzen von Kopierbuttons und das Verändern der Inhalte von Kopierereignissen. Dadurch konnte laut SlowMist eine gefälschte Adresse in der Zwischenablage erscheinen, selbst wenn ein Nutzer versuchte, anderen Text zu kopieren.

Der Hersteller von Hardware-Kryptowallets Keystone hatte zuvor einen Leak von Kundendaten gemeldet.

Quelle: HODL Press