Исследователи команды кибербезопасности SlowMist обнаружили атаку с внедрением вредоносного JavaScript-кода в скрипты клиентской поддержки Udesk. Анализ двух файлов показал, что злоумышленники могли похищать пользовательские данные и подменять адреса пополнения счетов на некоторых криптовалютных платформах.
По данным специалистов, атакующие скрытно встроили в систему код, который загружал вредоносный скрипт deeps.js с поддельного домена udeskqlobal[.]com. Он практически не отличался от оригинального адреса: в названии домена букву g заменили на q.
Атака состояла из нескольких этапов. Сначала скрипт извлекал данные из cookies, localStorage и sessionStorage браузера, пытаясь получить действующие токены авторизации. Это потенциально позволяло злоумышленникам входить в пользовательские аккаунты без пароля. Одновременно вредоносный код перехватывал сведения, вводимые в формы на сайтах, включая имена пользователей, пароли, коды подтверждения и данные запросов на авторизацию или регистрацию.
Затем собранная информация передавалась на сервер атакующих. Если механизмы защиты браузера блокировали стандартный способ отправки, скрипт прибегал к маскировке: передавал зашифрованные данные в запросе на загрузку обычного изображения.