慢雾科技预警：Udesk客服系统遭恶意注入，可窃资料、篡改充值地址
第三方客服组件供应链风险一直是网站安全防护中容易被忽视的薄弱环节，一旦组件脚本被投毒，接入站点的用户都将暴露在威胁之下。
北京时间 10 月 27 日，区块链安全机构慢雾在 X 平台发布威胁情报与完整技术报告，广泛使用的 Udesk 在线客服系统相关网页脚本遭到恶意代码植入。攻击者借助篡改脚本，同时实现窃取账号凭证和替换加密货币充值地址两类攻击行为，报告暂未披露注入路径、受害平台与资金损失规模，下文将拆解攻击流程、危害范围以及对应的应急处置方案。
技术拆解显示，受感染的样本文件名为udeskApi.2026-10-16.cached.js。该脚本前段仍维持正常的客服按钮与聊天窗口逻辑，但尾部被人为追加了一段经过十六进制编码混淆的独立程序。解码后可见，该程序会从仿冒域名udeskqlobal.com远程拉取另一支名为deeps.js的二级恶意脚本。慢雾方面特别提示，攻击者采用了极具迷惑性的拼写伪装，将常规的“global”替换为以字母q开头的“qlobal”，安全人员在检索日志时需严格按原拼写比对。此外，尽管客服窗口在前端展示上处于独立框架内，但从主页面直接加载的第三方脚本并未受到隔离限制，依然拥有直接读取主页面核心数据的权限。
全量接入站点面临接管风险
一旦二级脚本deeps.js被成功触发，程序便会立即读取当前网页的Cookie及浏览器本地存储数据，连同当前页面网址一并回传至攻击者控制的远程服务器。更为隐蔽的是，当用户在前端提交表单，或网页发起任何网址中包含login、auth、password等敏感字段的请求时，脚本会实时监听并将输入的账号、密码及动态验证码完整复制外发。
慢雾在报告中强调，这一信息收集程序在判断目标网站域名之前便已优先执行。这意味着数据外泄风险并非局限于特定加密平台，凡是嵌入并加载了该受污染脚本的网页，其访问者均面临资料泄露威胁。若被截获的数据中包含尚未过期的有效登录凭证，攻击者即可绕过常规防线直接冒充用户登录，进而实现对目标账号的完全接管。
毫秒级定向篡改
与无差别收集凭证不同，资金层面的地址篡改功能展现了极强的定向狙击特征，仅在比对匹配到mgbx.com、bikingex以及bitxex.io三组特定域名规则时才会被激活。当监测到用户访问的网址包含deposit、recharge或assets等字眼时，恶意程序会以每200毫秒（即0.2秒）一次的高频节奏扫描页面。一旦识别出符合格式的入金地址，便会瞬间将其替换为攻击者预设的收款地址，攻击范围涵盖比特币、EVM兼容链、波场、Solana、莱特币及狗狗币共计6种区块链网络。
为了彻底麻痹用户，该恶意程序还同步改写了浏览器的复制功能。无论用户点击页面自带的复制按钮，还是通过其他方式提取地址，系统剪贴板里的地址均可能被强制替换。慢雾对此发出提醒，由于页面显示地址与剪贴板复制出的内容已被同步篡改，即便使用者在转账前习惯性比对网页地址与粘贴结果，肉眼看到的依然是同一个被篡改的伪造值。
应急响应与风控排查
针对此次供应链安全事件，慢雾安全团队向仍在加载受影响脚本的机构给出了明确的应急处置建议：
- 留存证据与版本回滚：第一时间保存受感染的脚本证据并停止发布，换回经过严格验证的安全版本，同时全面检查网站托管环境、内容分发网络（CDN）及标签管理设置。
- 凭证撤销与密钥更换：在确保操作环境彻底干净后，立即撤销所有可能外泄的登录工作会话，更换后台及用户的密码与密钥。
- 资产核对与黑名单比对：通过独立的可信渠道重新核对入金地址与相关交易记录。目前慢雾已在报告中完整公开了恶意域名、文件哈希值以及6个攻击者钱包地址，供相关平台导入风控系统进行比对排查。
总结
本次属于典型第三方供应链劫持攻击，恶意脚本伪装隐蔽，依靠仿冒域名下发次级攻击载荷，先无差别窃取 Cookie、账号密码与验证码，再定向监控特定加密平台页面，高频扫描并替换多币种入金地址，同时劫持剪贴板让肉眼校验失效，欺骗性极强。
慢雾已经公开恶意域名、文件哈希与黑客钱包，建议接入 Udesk 的机构尽快回滚脚本、重置密钥、核对资产交易记录，普通用户转账前也尽量通过独立渠道二次核验收款地址，规避这类隐蔽的前端劫持风险。
以上就是区块链安全机构慢雾科技预警：Udesk客服系统遭恶意注入，可窃资料、篡改充值地址的详细内容，更多关于Udesk脚本被植入恶意代码的资料请关注脚本之家其它相关文章！
本站提醒：投资有风险，入市须谨慎，本内容不作为投资理财建议。
