慢雾：Udesk カスタマーサポートスクリプトに悪意のあるコードが埋め込まれ、ユーザーのセッションデータを盗み、チャージアドレスを置き換えることができます。
慢雾によると、そのセキュリティチームは日常の脅威インテリジェンス調査の中で、Udeskカスタマーサービスシステムに関連するスクリプトudeskApi.2026-10-16.cached.jsが悪意のあるローダーに埋め込まれていることを発見しました。このローダーは16進数でエンコードされたアドレスを隠し、非同期でリモートスクリプトdeeps.jsをロードします（ソースはudeskqlobal[.]comで、ドメイン名はqで始まります）。このスクリプトは、ページでアクセス可能なCookie、localStorage、sessionStorageを読み取り、フォームやログイン、認証リクエストを傍受し、データをudeskqlobal[.]com/c.phpに送信します。攻撃者はこれを利用してセッションを偽装したり、アカウントを乗っ取ったりする可能性があります。このデータ収集行為は、ターゲットサイトのルールに制限されず、一致しないページも影響を受ける可能性があります。慢雾の分析によると、このスクリプトはmgbx[.]com、bikingex[.]およびbitxex[.]ioの3種類のサイトにも対応しており、200ミリ秒ごとにチャージページをスキャンし、識別されたチャージアドレスを事前設定されたBTC、EVM、TRON、Solana、LTC、DOGEのアドレスに置き換えます。同時に、スクリプトはクリップボードAPIをラップし、コピーボタンを置き換え、コピーイベントを傍受することで、ユーザーが見ることができ、コピーするのは改ざんされたアドレスだけになります。ユーザーがこのアドレスに送金すると、資金は攻撃者のアドレスに流れます。
