Команда SlowMist, ведущая фирма по кибербезопасности в Web3 пространстве, обнаружила критическую уязвимость в системе клиентской поддержки Udesk, которая активно эксплуатируется злоумышленниками для кражи конфиденциальных данных пользователей и перенаправления криптовалютных депозитов. Вредоносный JavaScript код, внедренный в скрипты Udesk, собирает cookies, localStorage, sessionStorage и чувствительную информацию из форм аутентификации, одновременно подменяя адреса депозитов на сайтах и манипулируя содержимым буфера обмена. Система threat intelligence MistEye немедленно распространила предупреждение через каналы оповещений, призвав все затронутые проекты прекратить использование скомпрометированных скриптов и восстановить доверенные версии.
📊 Ключевые факты: SlowMist обнаружила вредоносный JS в скриптах Udesk; скрипт собирает cookies, localStorage, sessionStorage; крадет данные из форм и auth запросов; подменяет адреса депозитов на сайтах; манипулирует буфером обмена; MistEye разослала предупреждения; критическая supply chain атака через third-party виджет клиентской поддержки.
Атака на систему клиентской поддержки Udesk представляет собой классический пример supply chain атаки, где злоумышленники компрометируют не сам целевой сайт, а third-party сервис, интегрированный во множество платформ. Согласно анализу SlowMist, вредоносный код был внедрен в JavaScript файлы, связанные с Udesk — популярной системой клиентской поддержки, используемой многими криптобиржами, DeFi протоколами и Web3 проектами для обработки пользовательских запросов.
Когда пользователь посещает сайт с интегрированным виджетом Udesk, его браузер загружает не только легитимные скрипты системы поддержки, но и внедренный вредоносный код. Этот код выполняется в контексте домена основного сайта, получая доступ ко всем данным, доступным JavaScript на этой странице. Это означает, что вредоносный скрипт может читать cookies, получать доступ к localStorage и sessionStorage, перехватывать данные, вводимые в формы, и даже модифицировать содержимое страницы в реальном времени.
| Компонент атаки | Функция | Риск для пользователя |
|---|---|---|
| Внедренный JS скрипт | Загружается с виджетом Udesk | Выполняется в контексте доверенного сайта |
| Доступ к cookies | Чтение session cookies | Угон сессий и аккаунтов |
| localStorage/sessionStorage | Извлечение сохраненных данных | Кража токенов и preferences |
| Перехват форм | Чтение вводимых данных | Кража credentials при логине |
| Модификация DOM | Изменение содержимого страницы | Подмена адресов и информации |
Особенно опасным является тот факт, что атака происходит через доверенный third-party сервис. Пользователи видят знакомый виджет клиентской поддержки на знакомом сайте и не подозревают, что этот виджет стал вектором атаки. Это делает supply chain атаки особенно коварными — даже если основной сайт полностью безопасен и прошел все аудиты, компрометация одного third-party компонента может привести к массовой краже данных.
SlowMist получила и проанализировала два образца вредоносного JavaScript кода, что позволило им отследить, как именно код загружается на страницы и выполняется. Анализ показал sophisticated подход к обфускации кода и evasion техникам, позволяющим вредоносному скрипту избегать обнаружения стандартными security tools и оставаться незамеченным в течение длительного времени.
⚠️ Критический аспект: Атака происходит через доверенный third-party виджет. Пользователи не могут визуально отличить легитимный виджет Udesk от скомпрометированного. Даже безопасные сайты становятся векторами атаки через интеграцию с Udesk.
Детальный анализ SlowMist выявил два основных вредоносных поведения внедренного JavaScript кода. Первое поведение фокусируется на массовом сборе конфиденциальной информации пользователей. Скрипт систематически извлекает cookies, которые часто содержат session tokens, позволяющие злоумышленникам угнать активные сессии пользователей без необходимости знать их пароли.
Второй вектор сбора данных включает доступ к localStorage и sessionStorage — современным механизмам браузера для хранения данных на стороне клиента. Многие Web3 приложения используют эти хранилища для сохранения authentication tokens, user preferences, wallet addresses и другой чувствительной информации. Вредоносный скрипт получает полный доступ к этим хранилищам и эксфильтрует их содержимое на серверы злоумышленников.
| Тип данных | Метод сбора | Потенциальное использование |
|---|---|---|
| Session cookies | Чтение document.cookie | Угон активных сессий |
| localStorage | Итерация через все ключи | Кража токенов и настроек |
| sessionStorage | Извлечение временных данных | Доступ к текущим сессиям |
| Данные форм | Event listeners на input полях | Кража credentials при вводе |
| Auth requests | Перехват XHR/Fetch запросов | Кража токенов аутентификации |
Особенно тревожным является способность вредоносного скрипта перехватывать данные, вводимые пользователями в формы. SlowMist обнаружила, что скрипт устанавливает event listeners на все input поля на странице, включая поля логина, пароля, email и другие чувствительные поля. Каждый символ, вводимый пользователем, немедленно отправляется на серверы злоумышленников, что позволяет им получать credentials в реальном времени.
Более того, скрипт способен перехватывать authentication requests — сетевые запросы, отправляемые при попытке входа в систему. Даже если сайт использует HTTPS для защиты передаваемых данных, вредоносный JavaScript, выполняющийся в браузере пользователя, может прочитать эти данные до их шифрования и отправки. Это делает традиционные методы защиты, такие как SSL/TLS, неэффективными против client-side атак.
Масштаб потенциального ущерба огромен. Учитывая популярность Udesk как системы клиентской поддержки в криптоиндустрии, скомпрометированные скрипты могли быть загружены на сотнях сайтов, затрагивая сотни тысяч пользователей. Каждый пользователь, посетивший любой из этих сайтов в период активности вредоносного кода, потенциально стал жертвой кражи данных.
🕵️ Методы сбора: Перехват keystrokes в реальном времени; чтение всех cookies; извлечение localStorage/sessionStorage; мониторинг authentication requests; эксфильтрация данных на C&C серверы. Пользователи не видят никакой подозрительной активности — все происходит незаметно в фоне.
Второе критическое вредоносное поведение, обнаруженное SlowMist, напрямую нацелено на кражу криптовалют пользователей. Вредоносный скрипт активно ищет на странице элементы, отображающие адреса депозитов криптовалют, и заменяет их на адреса, контролируемые злоумышленниками. Когда пользователь копирует адрес для отправки средств, он получает подмененный адрес и, ничего не подозревая, отправляет криптовалюту на кошелек атакующего.
Атака становится еще более изощренной благодаря манипуляции буфером обмена (clipboard). Даже если пользователь визуально проверяет адрес на экране и решает скопировать его для вставки в свой кошелек, вредоносный скрипт перехватывает операцию копирования и помещает в буфер обмена подмененный адрес. Пользователь видит правильный адрес на экране, копирует его, вставляет в свой кошелек — и отправляет средства злоумышленнику.
| Техника подмены | Механизм | Сложность обнаружения |
|---|---|---|
| DOM manipulation | Замена текста в элементах страницы | Высокая — пользователь видит подмененный адрес |
| Clipboard hijacking | Перехват copy/paste операций | Очень высокая — адрес на экране правильный |
| Visual similarity | Использование похожих символов | Средняя — внимательный пользователь может заметить |
| Timing attacks | Подмена в момент копирования | Очень высокая — невозможно заметить визуально |
Clipboard hijacking особенно опасен, потому что обходит основную рекомендацию по безопасности — всегда проверять адрес после вставки. Пользователь следует best practices: копирует адрес с сайта, вставляет его в кошелек, проверяет первые и последние символы — и все равно отправляет средства злоумышленнику, потому что проверка происходит уже после подмены в буфере обмена.
SlowMist обнаружила, что скрипт targeting специфические паттерны адресов для различных криптовалют: Bitcoin, Ethereum, USDT и других популярных активов. Для каждой криптовалюты используются соответствующие форматы адресов, что делает подмену более убедительной. Скрипт также способен определять контекст страницы — например, находится ли пользователь на странице депозита биржи — и активировать подмену только в релевантных ситуациях, чтобы избежать подозрений.
Финансовые последствия таких атак могут быть катастрофическими. Один пользователь, отправляющий крупную сумму на подмененный адрес, может потерять десятки или сотни тысяч долларов. Учитывая массовый характер supply chain атаки через Udesk, совокупные потери могут достигать миллионов долларов до того, как атака будет обнаружена и остановлена.
💸 Механизм кражи: 1) Пользователь видит правильный адрес на экране; 2) Копирует адрес в буфер обмена; 3) Скрипт подменяет адрес в буфере; 4) Пользователь вставляет подмененный адрес; 5) Проверяет адрес (видит подмененный); 6) Отправляет средства злоумышленнику. Необратимость крипто-транзакций делает возврат средств невозможным.
В ответ на обнаруженную угрозу SlowMist выпустила comprehensive набор рекомендаций для затронутых проектов и пользователей. Для проектов, использующих Udesk или аналогичные third-party системы клиентской поддержки, критически важно немедленно прекратить обслуживание скомпрометированных скриптов и восстановить доверенные версии. Это требует координации с поставщиком Udesk для получения чистых, проверенных версий JavaScript файлов.
Проекты должны провести thorough расследование для определения масштаба компрометации. Это включает анализ логов для выявления периодов, когда вредоносный код был активен, идентификацию затронутых пользователей и оценку потенциально украденных данных. Все sessions, которые могли быть скомпрометированы, должны быть немедленно отозваны, а пользователи принудительно перелогинены с выдачей новых токенов.
| Мера защиты | Приоритет | Действия |
|---|---|---|
| Остановка скомпрометированных скриптов | 🔴 Критический | Немедленно удалить вредоносный код |
| Восстановление доверенных версий | 🔴 Критический | Получить чистые скрипты от Udesk |
| Расследование утечек | 🟠 Высокий | Анализ логов и определение масштаба |
| Отзыв скомпрометированных сессий | 🟠 Высокий | Invalidate все потенциально угнанные sessions |
| Ротация credentials | 🟠 Высокий | Смена паролей и токенов из чистой среды |
| Верификация адресов | 🟡 Средний | Независимая проверка через trusted channels |
Для пользователей, которые могли быть затронуты атакой, SlowMist рекомендует немедленно сменить пароли на всех платформах, где они использовали те же credentials, что и на затронутых сайтах. Важно проводить смену паролей из чистой, проверенной среды — например, с другого устройства или после полной очистки браузера — чтобы избежать перехвата новых credentials тем же вредоносным кодом.
Критически важной рекомендацией является независимая верификация адресов депозитов через trusted channels. Пользователи не должны полагаться исключительно на адреса, отображаемые на сайте или скопированные в буфер обмена. Вместо этого следует использовать альтернативные методы верификации: сканирование QR-кодов напрямую с устройства (если доступно), проверка адресов через официальные мобильные приложения, или использование bookmarked адресов, сохраненных ранее из проверенного источника.
Для долгосрочной защиты проекты должны пересмотреть свой подход к интеграции third-party сервисов. Это включает implementation Content Security Policy (CSP) для ограничения источников загружаемых скриптов, использование Subresource Integrity (SRI) для проверки целостности внешних ресурсов, и регулярный аудит всех third-party интеграций на предмет уязвимостей. Принцип минимальных привилегий должен применяться ко всем внешним скриптам — они не должны иметь доступ к чувствительным данным без явной необходимости.
Индустрия Web3 должна извлечь уроки из этого инцидента и признать, что безопасность не ограничивается собственным кодом проекта. Каждый third-party компонент, интегрированный в платформу, становится частью attack surface и потенциальным вектором компрометации. Defense in depth подход, включающий multiple layers of protection и continuous monitoring всех компонентов системы, становится не просто best practice, а необходимостью в современной threat landscape.
🛡️ Критические действия: 1) Немедленно удалить скомпрометированные скрипты; 2) Восстановить доверенные версии от Udesk; 3) Отозвать все потенциально скомпрометированные sessions; 4) Сменить credentials из чистой среды; 5) Независимо верифицировать все адреса депозитов; 6) Внедрить CSP и SRI для защиты от будущих атак; 7) Регулярно аудировать third-party интеграции.
Система threat intelligence MistEye от SlowMist сыграла критическую роль в быстром обнаружении и оповещении о угрозе. Это демонстрирует важность proactive threat monitoring и intelligence sharing в криптоиндустрии. Когда одна организация обнаруживает новую угрозу, быстрое распространение информации через intelligence channels позволяет другим проектам защитить себя до того, как они станут жертвами той же атаки.
Инцидент с Udesk также поднимает важные вопросы о ответственности third-party провайдеров в экосистеме Web3. Когда сервис клиентской поддержки становится вектором массовой атаки, это влияет не только на самого провайдера, но и на все проекты, интегрировавшие его решение. Индустрии необходимо разработать более строгие стандарты безопасности для third-party сервисов, включая обязательные security audits, continuous monitoring и четкие протоколы incident response.
Для пользователей этот инцидент служит напоминанием о том, что даже на доверенных сайтах необходимо сохранять бдительность. Best practices безопасности, такие как проверка адресов через multiple channels, использование hardware wallets для крупных транзакций, и регулярный мониторинг активности аккаунтов, остаются критически важными для защиты средств в постоянно evolving threat landscape.
Будущее безопасности в Web3 будет зависеть от способности индустрии учиться на подобных инцидентах и внедрять более robust security practices на всех уровнях — от individual пользователей до крупных проектов и third-party провайдеров. Только через collaborative effort и commitment к безопасности на каждом уровне stack можно создать действительно безопасную экосистему для миллионов пользователей.
«В мире децентрализованных технологий ваша безопасность настолько сильна, насколько сильно самое слабое звено в вашей цепи доверия. Third-party интеграции часто становятся этим слабым звеном, превращая безопасные платформы в векторы массовых атак. Истинная безопасность требует holistic подхода, учитывающего каждый компонент системы».
— Андреас Антонопулос, эксперт по Bitcoin и безопасности блокчейн-систем
