SlowMist Uyardı: Udesk Sohbet Betiği Üç Borsada Yatırım Adreslerini Değiştiriyordu

Udesk Sohbet Betiği Gizli Bir Yük Taşıyordu

Üçüncü taraf sitelere gömülü bir müşteri desteği sohbet aracı, gizli bir kod barındırıyordu. Bu kod, ziyaretçilerin giriş verilerini toplayıp en az üç kripto borsası üzerinde görüntülenen kripto para yatırım adreslerini değiştiriyordu. Blok zincir güvenlik firması SlowMist bulguyu 27 Ekim Salı günü duyurdu. Firmanın ekibi rutin tehdit istihbaratı çalışması sırasında bozuk betiğe rastladı ve MistEye adlı izleme servisi aracılığıyla etkilenen müşterilere uyarılar gönderildi. Söz konusu dosya, udeskApi.2026-10-16.cached.js, Udesk'in sitelerin kendi sayfalarına destek düğmesi ve sohbet penceresi yerleştirebilmesi için dağıttığı standart betik. SlowMist alarmı X üzerinde yayımladığı bir uyarıyla çaldı ve aynı gün tam kapsamlı bir teknik rapor da paylaştı.

X üzerinde yayımladığı bir uyarıylahttps://x.com/SlowMist_Team/status/2115033345675675678012

Veri toplama rutini, siteye özel kurallara karşı herhangi bir kontrol yapılmadan, betiği yükleyen her sayfada çalışıyordu. Yani aracı gömen her site, kullanıcı kimlik bilgilerini sızdırma riski taşıyordu. SlowMist, sohbet penceresinin iframe (iç çerçeve) yapısının da koruma sağlamadığını belirtti; ana sayfaya yüklenen kodlar yine de bu pencerenin verilerini okuyabiliyordu. Adres değiştirme modülü ise daha dar kapsamlıydı: yalnızca MGBX, Biking Exchange ve BitxEX ile eşleşen üç alan adı kuralında devreye giriyordu. Bu platformların yatırma, bakiye yükleme ve varlık sayfalarında betik her 200 milisaniyede bir tarama yapıyor ve görüntülenen yatırım adreslerini, saldırgan kontrolündeki altı cüzdan adresinden biriyle değiştiriyordu. Bu cüzdan adresleri Bitcoin, Ethereum sanal makinesi zincirleri, Tron, Solana, Litecoin ve Dogecoin ağlarını kapsıyordu. Kod, kopyalanan metni üç ayrı yoldan yeniden yazıyordu; kullanıcı adresi karşılaştırmak için başka bir yere yapıştırsa bile her iki uçta da aynı harmanlanmış değeri görüyordu. SlowMist, kodun Udesk betiğine nasıl girdiğini, kaç sitenin bu betiği yüklediğini ve aslında herhangi bir fonun alternatif adreslere ulaşıp ulaşmadığını açıklamadı.

Onaltılık Hile Saldırganın Alan Adını Sakladı

Kötü amaçlı yükleyici dosyanın sonunda, aracın destek düğmesi ve sohbet penceresine ait normal kodunun ardında duruyordu. Yükleyicinin komuta kontrol adresi onaltılık (hexadecimal) biçimde yazılmıştı; dolayısıyla alan adını düz metin olarak arama yapan bir savunucu onu tamamen gözden kaçırabiliyordu. Kod çözüldüğünde, yükleyicinin udeskqlobal.com adresinden deeps.js adlı ikinci bir betik çektiği ortaya çıktı. SlowMist yazımın üstünde özellikle durdu: alan adı "g" değil "q" harfiyle başlıyor ve loglarını tarayan savunma ekipleri birebir bu dizgiyi aramalı. deeps.js çalışır çalışmaz çerezleri ve tarayıcı depolamasını okuyor, sayfa adresiyle birlikte bunları aynı alan adındaki bir sunucuya iletiyordu. Ardından form gönderimlerini ve adresinde login, auth ya da password gibi ifadeler geçen istekleri ele geçirerek kullanıcılar bunları iletirken hesap adlarını, parolaları ve doğrulama kodlarını kopyalıyordu. Firma, bu tür ele geçirilmiş verilerin saldırganların kullanıcı taklidi yapmasına ya da hesapları doğrudan ele geçirmesine yol açabileceğini yazdı.

Çözüm önerileri de somut. Etkilenen betikleri hâlâ yükleyen işletmelerden önce delil saklamaları, dosyaların dağıtımını durdurmaları, doğrulanmış sürümlere dönmeleri ve barındırma, CDN ile etiket yöneticisi ayarlarını gözden geçirmeleri istendi. Bunun ardından sızması muhtemel oturumları iptal etmeleri, parola ve anahtarları temiz bir ortamdan yenilemeleri, sonra yatırım hedeflerini güvenilir arka uçlarla ve işlem kayıtlarıyla karşılaştırmaları gerekiyor. SlowMist, betik etiketini silmenin önceden kurulmuş kancaları ve zamanlayıcıları iptal etmediği için etkilenen sayfaların tamamen kapatılması gerektiği uyarısını da ekledi. Rapor, operatörlerin kendi loglarıyla eşleştirebilmesi için kötü amaçlı alan adını, dosya özetlerini (hash) ve altı cüzdan adresini yayımladı. Buradaki örüntü, tek bir platformun ihlali değil, paylaşılan altyapının tedarik zinciri üzerinden ele geçirilmesidir ve tam da bu yüzden etki alanının sınırlarını çizmek zor: veri toplama site kontrollerinden önce koştuğu için aracı taşıyan her sayfa kapsam içinde. En yakın emsal, Aralık 2023'te üzerinde oynanan Ledger Connect Kit kütüphanesi; o olayda SushiSwap ve Zapper dahil ön uç kullanıcılarından yaklaşık 500 bin dolar çekilmişti. Bu vaka daha sinsi bir katman ekliyor, çünkü panoya yazma işlemi birçok kullanıcının koruma saydığı kopyala ve karşılaştır alışkanlığını geçersiz kılıyor. SlowMist'in dosya özetlerini ve altı adresi yayımlaması operatörlere loglarıyla somut bir eşleştirme imkânı veriyor; üçüncü taraf bağımlılıklarını tarayan ekipler işe blok zincir güvenlik denetimlerinin kapsadığı temel kontrollerden başlayabilir.