SlowMist виявила атаку через Udesk: під загрозою криптоадреси
Шкідливий JavaScript у чаті Udesk викрадав сесійні дані та підміняв криптоадреси для поповнення рахунків. Як працювала атака SlowMist і що радять фахівці
Команда з кібербезпеки SlowMist виявила атаку на систему підтримки клієнтів Udesk. Шкідливий JavaScript міг викрадати дані для входу в акаунти, перехоплювати введені у вебформи дані та підміняти адреси для поповнення рахунків на трьох криптовалютних платформах.
Як проникли в систему Udesk
Аналітики встановили, що зловмисники вбудували прихований код у скрипти Udesk. Він завантажував файл deeps.js із фальшивого домену udeskqlobal[.]com. Підроблена адреса майже повторювала оригінальну: замість літери g використали q. Така підміна легко проходить непоміченою, якщо не перевіряти домен уважно.
Шкідливий скрипт діяв поетапно. Спочатку він збирав cookies, а також дані зі сховищ localStorage і sessionStorage браузера. Це дозволяло викрадати активні токени авторизації та потенційно отримувати доступ до облікових записів без введення пароля.
Окремо код перехоплював інформацію, яку користувачі вводили у вебформи. Йдеться, зокрема, про імена, паролі, коди підтвердження та дані, пов’язані з входом в акаунт і реєстрацією. Зібрані відомості скрипт передавав на сервер зловмисників. Якщо браузер блокував звичайний спосіб передачі, код маскував дані під запит на завантаження зображення і відправляв їх у зашифрованому вигляді.
Чому атака була небезпечною для криптоплатформ
SlowMist звернула увагу на дві особливості атаки. По-перше, чат, вбудований як iframe, не захищав основну сторінку від доступу шкідливого коду до її даних. По-друге, скрипт збирав облікові дані на всіх ресурсах, де був встановлений уражений віджет Udesk, а не лише на заздалегідь визначених сайтах.
Найсерйознішим ризиком стала підміна адрес для поповнення. За даними дослідників, правила підміни були прописані для трьох платформ: mgbx[.]com, bikingex та bitxex[.]io. Скрипт перевіряв адресу сторінки та елементи інтерфейсу, а далі кожні 200 мілісекунд шукав адреси для внесення коштів і замінював їх на адреси зловмисників.
Код містив шаблони для шести категорій криптоактивів: BTC, активів у EVM-сумісних мережах, TRON, Solana, LTC і DOGE. Адреси визначалися за шаблонами символів, без перевірки обраної мережі та інших параметрів транзакції. Тому користувач міг переслати кошти зловмисникам, не помітивши підміни.
Крім того, шкідливий код міг втручатися в буфер обміну трьома способами: перехоплювати виклики Clipboard API, замінювати кнопки копіювання та змінювати вміст подій копіювання. Підроблена адреса могла потрапити в буфер навіть тоді, коли користувач копіював зовсім інший текст.
Що рекомендують фахівці SlowMist
- Припинити використання уражених скриптів і перевірити власні системи на ознаки компрометації.
- Відкликати скомпрометовані облікові дані та сесійні токени.
- Перевіряти адреси для поповнення за даними серверної частини та записами транзакцій, а не лише з інтерфейсу сторінки.
Для клієнтів криптоплатформ практичний висновок простий: перш ніж підтвердити переказ, варто звірити адресу з офіційним сервісом або особистим кабінетом і переконатися, що мережа обрана правильно. Для компаній, які інтегрують сторонні чат-віджети, це сигнал переглянути права доступу сторонніх скриптів і регулярно контролювати їх цілісність.
Що таке атака через Udesk?
Це зловмисна атака на систему підтримки клієнтів Udesk, у якій шкідливий JavaScript вбудовувався в скрипти чату. Він крав дані для входу в акаунти та підміняв адреси для поповнення криптогаманців.
Які криптоплатформи постраждали від атаки?
За даними SlowMist, у коді були прописані правила для трьох платформ: mgbx[.]com, bikingex і bitxex[.]io. Ці правила дозволяли підміняти адреси для внесення коштів.
Як перевірити, чи не підмінили адресу для переказу криптовалюти?
Звірте адресу з офіційним кабінетом платформи або з даними, які надходять із серверної частини, а не лише з екрана. Переконайтеся також, що обрана мережа відповідає вашому переказу.
Що робити, якщо ви вводили дані на уражених сторінках?
Змініть паролі, вийдіть з усіх активних сесій і перевірте історію операцій. Якщо виникли підозрілі транзакції, зверніться до служби підтримки платформи.
