تحقیقات اخیر نشان‌دهنده شناسایی یک حمله پیچیده از طریق تزریق کدهای مخرب در اسکریپت‌های مرتبط با سیستم خدمات مشتری Udesk است. این حمله که از طریق اسکریپت‌های JavaScript انجام می‌شود، دو هدف اصلی را دنبال می‌کند: سرقت اطلاعات حساس کاربران (مانند نشست‌ها و رمز عبور) و تغییر آدرس‌های کیف پول در هنگام انجام تراکنش‌های رمزارزی.
مکانیزم بارگذاری و اجرای Payload
مهاجمان از یک لودر (Loader) مخرب در فایل‌هایی مانند udeskApi.2026-10-16.cached.js استفاده می‌کنند. این لودر با استفاده از تکنیک‌های رمزنگاری ساده (Hexadecimal decoding)، آدرس فایل اصلی مخرب یعنی deeps.js را از حالت پنهان خارج کرده و آن را به صورت ناهمگام (Asynchronous) در صفحه وب بارگذاری می‌کند. این روش باعث می‌شود شناسایی دامنه کنترل (C2) از طریق جستجوی متنی ساده دشوار شود.
سرقت داده‌ها و شنود درخواست‌ها
فایل deeps.js پس از اجرا، اقدام به جمع‌آوری گسترده داده‌ها می‌کند. این فرآیند شامل موارد زیر است:
- استخراج اطلاعات ذخیره‌سازی: خواندن مقادیر
Cookies،localStorageوsessionStorageبرای سرقت توکن‌های ورود و نشست‌ها (Sessions). - شنود فرم‌ها و درخواست‌های API: با استفاده از تکنیک Hooking بر روی متدهای
XMLHttpRequest.prototype.sendوfetch، مهاجم می‌تواند محتوای فرم‌های ثبت‌نام، ورود و تغییر رمز عبور را پیش از ارسال به سرور اصلی، کپی کرده و سرقت کند. - استخراج اطلاعات از طریق تصویر: در صورت بروز خطا در ارسال داده‌ها از طریق درخواست‌های POST، اسکریپت از یک روش جایگزین (Fallback) با استفاده از درخواست‌های GET از طریق شیء
Imageاستفاده می‌کند تا داده‌ها را از طریق پارامترهای URL خارج کند.
جعل آدرس‌های واریز و دستکاری کلیپ‌بورد
بخش خطرناک‌تر این حمله، مربوط به عملیات مالی است. اسکریپت با پایش مداوم صفحه (Polling)، آدرس‌های واریز رمزارز (مانند BTC، EVM، TRON و غیره) را شناسایی کرده و آن‌ها را با آدرس‌های متعلق به مهاجم جایگزین می‌کند. علاوه بر این، مهاجم از تکنیک‌های زیر برای دور زدن دقت کاربران استفاده می‌کند:
- دستکاری Clipboard API: با بازنویسی متد
navigator.clipboard.writeText، هر آنچه کاربر کپی می‌کند، بلافاصله به آدرس مخرب تغییر می‌یابد. - جعل دکمه‌های کپی: اسکریپت دکمه‌های کپی موجود در صفحه را کلون کرده و رویدادهای کلیک را مدیریت می‌کند تا آدرس اشتباه را در کلیپ‌بورد قرار دهد.
توصیه‌های امنیتی
سازمان‌هایی که از سرویس‌های خدمات مشتری استفاده می‌کنند، باید بلافاصله منابع خود را بررسی کرده و در صورت مشاهده اسکریپت‌های مشکوک، آن‌ها را مسدود کنند. همچنین توصیه می‌شود تمامی نشست‌های فعال (Sessions) و توکن‌های حساس بازنگری و تغییر داده شوند. علاوه بر این، استفاده از سیاست‌های سختگیرانه Content Security Policy (CSP) برای محدود کردن منابع قابل بارگذاری (connect-src و img-src) برای جلوگیری از خروج داده‌ها (Data Exfiltration) ضروری است.
