慢雾：Udesk客服脚本被植入恶意代码，可窃取会话并替换充值地址

【慢雾：Udesk客服脚本被植入恶意代码，可窃取会话并替换充值地址】金色财经报道，10月27日，慢雾（SlowMist）披露，其安全人员在威胁情报排查中发现Udesk客服系统脚本udeskApi.2026-10-16.cached.js被植入恶意加载器。该加载器以十六进制编码隐藏地址，异步加载远程脚本deeps.js（来源为udeskqlobal[.]com，域名为字母q开头），读取页面可访问的Cookie、localStorage和sessionStorage，并拦截表单及登录、认证类请求，将数据发送至udeskqlobal[.]com/c.php，攻击者可能借此冒用会话或接管账户。该脚本还针对mgbx[.]com、bikingex[.]与bitxex[.]io三类站点，每200毫秒扫描一次充值页面，将识别出的充值地址替换为预设的BTC、EVM、TRON、Solana、LTC和DOGE地址，并通过包装剪贴板API、替换复制按钮使用户复制的地址同样被篡改。慢雾建议停止分发受影响脚本，在干净环境中撤销会话并轮换令牌和密码，通过可信后端核对充值地址与交易记录；相关IOC已纳入MistEye威胁检测引擎。

原文链接：https://slowmist.medium.com/threat-intelligence-udesk-loads-malicious-js-to-steal-data-and-alter-transfer-addresses-157f331a5b8b