Slow Fog: Kịch bản dịch vụ khách hàng Udesk đã bị cài mã độc, có thể đánh cắp dữ liệu phiên người dùng và thay thế địa chỉ nạp tiền

Theo thông tin từ Slow Fog, nhân viên an ninh của họ trong quá trình kiểm tra thông tin đe dọa hàng ngày đã phát hiện ra rằng kịch bản liên quan đến hệ thống dịch vụ khách hàng Udesk udeskApi.2026-10-16.cached.js đã bị chèn mã độc. Mã độc này ẩn địa chỉ bằng mã hóa thập lục phân và tải kịch bản từ xa deeps.js một cách bất đồng bộ (nguồn từ udeskqlobal[.]com, lưu ý tên miền bắt đầu bằng chữ cái q). Kịch bản này sẽ đọc Cookie, localStorage và sessionStorage có thể truy cập trên trang, và chặn các yêu cầu liên quan đến biểu mẫu, đăng nhập, xác thực, gửi dữ liệu đến udeskqlobal[.]com/c.php, kẻ tấn công có thể lợi dụng điều này để mạo danh phiên hoặc chiếm đoạt tài khoản. Hành vi thu thập dữ liệu này không bị giới hạn bởi quy tắc của trang web mục tiêu, các trang không khớp cũng có thể bị ảnh hưởng.

Theo phân tích của Slow Fog, kịch bản này còn nhắm đến ba loại trang mgbx[.]com, bikingex[.] và bitxex[.]io, quét trang nạp tiền mỗi 200 mili giây, và thay thế địa chỉ nạp tiền được nhận diện bằng các địa chỉ BTC, EVM, TRON, Solana, LTC và DOGE đã được thiết lập trước. Đồng thời, kịch bản này thông qua việc bọc API clipboard, thay thế nút sao chép và chặn sự kiện sao chép, khiến người dùng thấy và sao chép đều là địa chỉ đã bị sửa đổi. Nếu người dùng chuyển tiền theo địa chỉ này, tiền sẽ chảy vào địa chỉ của kẻ tấn công.