Le conseil « vérifie les premiers et les derniers caractères après avoir collé » ne sauve pas la mise cette fois.
Le 27 octobre, SlowMist a révélé la présence d’un script dans le widget d’assistance Udesk, qui remplace l’adresse de dépôt à la fois sur la page et dans le presse-papiers. Tu colles, tu compares avec la page : tout correspond. Parce que c’est faux aux deux endroits.
Comment ça marche, en gros :
- le site n’a pas été piraté ; le code arrive via le chat d’assistance intégré, depuis le domaine udeskqlobal, où le g est remplacé par un q
- la page de dépôt est analysée toutes les 200 millisecondes : l’adresse est donc déjà remplacée avant même que tu aies le temps de la copier. Les adresses BTC, EVM, TRON, Solana, LTC et DOGE sont remplacées par celles des pirates
- le script lit aussi les cookies et les données de session
Pas de panique sur l’ampleur : le rapport mentionne trois plateformes parmi les cibles de l’attaque. Aucune grande plateforme d’échange n’en fait partie. Et c’est un rapport d’un fournisseur de solutions de sécurité.
Ce qui marche : vérifie l’adresse de dépôt ailleurs que sur la page. Dans l’application, sur un autre appareil ou dans l’historique d’anciens dépôts.
La suite que j’attends : est-ce que la liste des cibles va dépasser les trois ?
#SlowMist #security
Le 27 octobre, SlowMist a révélé la présence d’un script dans le widget d’assistance Udesk, qui remplace l’adresse de dépôt à la fois sur la page et dans le presse-papiers. Tu colles, tu compares avec la page : tout correspond. Parce que c’est faux aux deux endroits.
Comment ça marche, en gros :
- le site n’a pas été piraté ; le code arrive via le chat d’assistance intégré, depuis le domaine udeskqlobal, où le g est remplacé par un q
- la page de dépôt est analysée toutes les 200 millisecondes : l’adresse est donc déjà remplacée avant même que tu aies le temps de la copier. Les adresses BTC, EVM, TRON, Solana, LTC et DOGE sont remplacées par celles des pirates
- le script lit aussi les cookies et les données de session
Pas de panique sur l’ampleur : le rapport mentionne trois plateformes parmi les cibles de l’attaque. Aucune grande plateforme d’échange n’en fait partie. Et c’est un rapport d’un fournisseur de solutions de sécurité.
Ce qui marche : vérifie l’adresse de dépôt ailleurs que sur la page. Dans l’application, sur un autre appareil ou dans l’historique d’anciens dépôts.
La suite que j’attends : est-ce que la liste des cibles va dépasser les trois ?
#SlowMist #security
