Найден подменяющий криптоадреса скрипт в виджете чата Udesk

Код был спрятан в модифицированном файле udeskApi.2026-10-16.cached.js. Целевой адрес закодирован в шестнадцатеричном формате, чтобы нельзя было найти простым поиском по доменному имени. После декодирования скрипт загружал второй файл, deeps.js, с домена udeskqlobal[.]com, именно с буквой q, а не g, подчеркнули специалисты SlowMist.

После запуска вредоносный код считывал файлы cookie и данные из хранилища браузера, копировал данные, которые пользователи вводили в формы, а также перехватывал содержимое запросов, в URL-адресах которых встречались слова login (вход), signup (регистрация) и password (пароль). Все эти данные отправлялись на сервер в том же домене. По оценкам SlowMist, злоумышленники могли использовать полученные данные для подмены личности пользователей или захвата аккаунтов.

Второй модуль скрипта включался только на криптоплатформах MGBX, Biking Exchange и BitxEX. На страницах для депозитов скрипт каждые 200 миллисекунд проверял отображаемый адрес и заменял другим. Это затрагивало активы в сети Биткоина, совместимых с Виртуальной машиной Эфириума (EVM) блокчейнах, а также в сетях Tron, Solana, Litecoin и Dogecoin. Скрипт способен переписывать скопированный текст, поэтому пользователи, сравнивающие вставленный адрес с тем, что видели на странице, могли получить подменененный адрес.

SlowMist не уточнила, каким образом код попал в скрипт Udesk, сколько сайтов его загрузили и были ли отправлены средства на поддельные адреса. Специалисты SlowMist порекомендовали компаниям, которые все еще загружают эти скрипты, прекратить их распространение и сверить адреса для депозитов с доверенными бэкэндами и записями транзакций.

В прошлом году эксперты SlowMist выяснили, что злоумышленники изменили права доступа владельца к кошельку Solana, украв криптовалюту на сумму более $3 млн. Когда человек переходил по фишинговой ссылке на фальшивый сайт и подписывал транзакцию, команда assign незаметно переписывала это поле на адрес злоумышленника.