만안: Udesk 고객 서비스 스크립트에 악성 코드가 삽입되어 사용자 세션 데이터를 훔치고 충전 주소를 변경할 수 있습니다

느린 안개에 따르면, 그들의 보안 직원이 일상적인 위협 정보 조사 중에 Udesk 고객 서비스 시스템 관련 스크립트 udeskApi.2026-10-16.cached.js가 악성 로더에 의해 주입된 것을 발견했습니다. 이 로더는 16진수 인코딩을 통해 주소를 숨기고, 원격 스크립트 deeps.js를 비동기적으로 로드합니다(출처는 udeskqlobal[.]com이며, 도메인은 q로 시작합니다). 이 스크립트는 페이지에서 접근 가능한 쿠키, localStorage 및 sessionStorage를 읽고, 폼 및 로그인, 인증 요청을 가로채어 데이터를 udeskqlobal[.]com/c.php로 전송합니다. 공격자는 이를 통해 세션을 도용하거나 계정을 탈취할 수 있습니다. 이 데이터 수집 행위는 목표 사이트 규칙의 제한을 받지 않으며, 일치하지 않는 페이지도 영향을 받을 수 있습니다.

느린 안개 분석에 따르면, 이 스크립트는 mgbx[.]com, bikingex[.] 및 bitxex[.]io 세 가지 사이트를 대상으로 하며, 매 200 밀리초마다 충전 페이지를 스캔하고 인식된 충전 주소를 미리 설정된 BTC, EVM, TRON, Solana, LTC 및 DOGE 주소로 교체합니다. 동시에, 스크립트는 클립보드 API를 포장하고, 복사 버튼을 교체하며, 복사 이벤트를 가로채어 사용자가 보고 복사하는 것이 모두 변조된 주소가 되도록 합니다. 사용자가 해당 주소로 송금할 경우, 자금은 공격자의 주소로 흘러 들어갑니다.