El equipo de ciberseguridad de SlowMist descubrió, durante un análisis de dos archivos, que se había inyectado JavaScript malicioso en scripts utilizados por el sistema de atención al cliente Udesk.
SlowMist afirmó que el código podía robar credenciales y otros datos de usuarios, mientras que un módulo independiente podía sustituir direcciones de depósito de criptomonedas y modificar el contenido del portapapeles en tres plataformas.
Los investigadores instaron a las empresas afectadas a dejar de distribuir los scripts comprometidos, revocar las credenciales expuestas y verificar las direcciones de depósito con datos confiables.
El equipo de ciberseguridad de SlowMist descubrió el ataque mientras analizaba dos archivos vinculados al sistema de atención al cliente Udesk. Los hallazgos son relevantes porque, según SlowMist, el código inyectado podía robar datos de inicio de sesión y otros datos de usuarios en sitios que utilizaban el widget comprometido, además de redirigir depósitos de criptomonedas en tres plataformas.
Según SlowMist, los atacantes insertaron de forma encubierta código que cargaba un script malicioso llamado deeps.js desde el dominio falso udeskqlobal[.]com. El dominio difería del original por una letra, al utilizar “q” en lugar de “g”.
El malware operaba en varias etapas. Primero leía cookies del navegador y datos de localStorage y sessionStorage en un intento de robar tokens de autorización activos, lo que podría permitir a los atacantes acceder a las cuentas de los usuarios sin introducir una contraseña.
Al mismo tiempo, el script interceptaba la información que los visitantes introducían en formularios de sitios web, afirmó SlowMist. Los datos recopilados incluían nombres, contraseñas, códigos de verificación e información enviada mediante solicitudes de inicio de sesión o registro.
El script enviaba la información al servidor de los atacantes. Si las protecciones del navegador bloqueaban la transmisión estándar, el código utilizaba ofuscación mediante el cifrado de los datos dentro de una solicitud para cargar una imagen ordinaria, según los investigadores.
SlowMist afirmó que mostrar la ventana de chat en un iframe no protegía a los sitios web porque el código malicioso aún podía acceder a datos de toda la página principal. Los investigadores también afirmaron que la recolección de credenciales ocurría en todos los recursos donde estaba instalado el widget Udesk comprometido, y no solo en plataformas específicamente seleccionadas.
Manipulación de direcciones de depósito y del portapapeles
Un módulo independiente gestionaba la sustitución de direcciones de depósito e interceptaba operaciones de copia, afirmó SlowMist. El código contenía reglas para tres dominios: mgbx[.]com, bikingex[.], y bitxex[.]io.
El script comprobaba la URL de la página y los elementos relevantes de la interfaz, luego buscaba direcciones de depósito cada 200 milisegundos y las reemplazaba por direcciones especificadas por los atacantes.
El código incluía direcciones para seis tipos de activos: BTC, redes compatibles con EVM, TRON, Solana, LTC y DOGE. Identificaba las direcciones mediante patrones de caracteres sin verificar la red seleccionada por el usuario ni otros parámetros de la transacción.
SlowMist afirmó que el proceso creaba el riesgo de que los usuarios copiaran direcciones falsificadas y enviaran fondos directamente a los atacantes.
El script también interfería con las operaciones del portapapeles de tres maneras: interceptando llamadas a la API Clipboard, sustituyendo botones de copia y modificando el contenido de los eventos de copia. Como resultado, una dirección falsa podía aparecer en el portapapeles incluso cuando un usuario intentaba copiar otro texto, según SlowMist.
Recomendaciones
El fabricante de billeteras físicas de criptomonedas Keystone había informado previamente de una filtración de datos de clientes.
Fuente: HODL Press
