客服系统脚本发现隐蔽恶意代码

近期，一份安全分析报告指出，在某广泛使用的在线客服系统脚本文件中发现了经过精心隐藏的恶意加载器。该加载器并非直接暴露攻击逻辑，而是采用十六进制编码等方式进行混淆，随后从远程服务器异步调用另一段核心攻击脚本。

攻击手法：会话窃取与凭证拦截

被加载的恶意脚本具备多项危险功能。首先，它会全面收集用户浏览器本地存储的数据，包括Cookie、localStorage和sessionStorage中的信息。同时，脚本会监控页面中的所有表单提交动作，特别是登录、身份验证等敏感请求，并将窃取到的数据秘密发送到攻击者控制的服务器。

这意味着，攻击者可以利用这些窃取的会话凭证，直接冒用用户身份登录相关账户，甚至可能获得账户的控制权，造成严重的隐私与财产风险。

更直接的威胁：充值地址被实时替换

除了窃取凭证，此次攻击还表现出强烈的金融盗窃目的。恶意代码专门针对数个数字资产交易平台的页面进行监控。它会以极高的频率（每200毫秒）扫描页面，一旦检测到充值地址输入框，便会将其中的合法地址替换为攻击者预设的地址。

受影响链包括：

  • 比特币（BTC）网络
  • 以太坊等EVM兼容链
  • 波场（TRON）
  • Solana
  • 莱特币（LTC）
  • 狗狗币（DOGE）

更隐蔽的是，为了确保欺骗成功，脚本还会劫持网页的复制功能。即使用户手动复制了看似正确的地址，实际粘贴出来的也已经是攻击者的地址，极大增加了防范难度。

安全响应与防护建议

鉴于威胁的严重性，安全研究人员已将该攻击的相关特征（IOC）纳入其威胁检测平台。对于可能受影响的用户和企业，建议立即采取以下措施：

  • 排查并立即停止分发或使用被报告的受影响脚本版本。
  • 所有用户应在确认安全的环境中（如未受感染的设备），及时撤销（登出）所有相关网站的会话，并更换登录密码、API密钥等重要凭证。
  • 进行加密货币充值时，务必通过平台的官方后端或二次验证渠道核对收款地址，切勿完全依赖网页前端显示的信息。
  • 仔细审查近期的交易记录，确认充值是否到达了预期的官方地址。

这类攻击利用了用户对常用工具和网站的信任，其隐蔽性和针对性都较强。保持软件更新、提高安全警觉，是防范此类威胁的关键。