慢雾分析 Udesk 客服脚本注入恶意 JS 窃取数据并篡改充值地址
慢雾安全人员在威胁情报排查中发现 Udesk 客服系统脚本被注入恶意代码,获得 udeskApi.2026-10-16.cached.js 和 deeps.js 两个样本并完成分析。恶意加载器经十六进制解码后异步加载 https://udeskqlobal.com/deeps.js;deeps.js 启动时读取 Cookie、localStorage、sessionStorage 并挂钩表单与登录认证请求,将数据发送至 https://udeskqlobal.com/c.php,XHR 失败时改用图片 GET 请求兜底,该数据收集不受三个站点配置限制。地址模块则按 mgbx[.]com、bikingex[.]、bitxex[.]io 三条主机名规则匹配充值页,每 200 毫秒将识别出的充值地址替换为配置值,并通过包装 Clipboard API、替换复制按钮、拦截 copy 事件三条路径篡改剪贴板内容,配置了 BTC、EVM、TRON、Solana、LTC、DOGE 六种地址。慢雾给出停止分发受影响脚本、吊销会话与轮换凭据、独立核验充值地址等处置建议,并公布相关域名、URL、钱包地址与文件 SHA256 作为 IOC。
推荐理由:数据收集不受三个站点配置限制,地址替换才按站点规则触发,排查需分别覆盖两种暴露场景。