Un fichier JavaScript lié au système de service client Udesk, udeskApi.2026-10-16.cached.js, a été injecté avec un chargeur malveillant. Il récupère un second script, deeps.js, depuis udeskqlobal[.]com, un domaine qui imite celui d’Udesk à une lettre près : un « q » à la place du « g ». Les deux fichiers sont datés du 16 octobre 2026. La société de sécurité SlowMist a publié ses conclusions le 27 octobre 2026, après les avoir repérés lors d’une surveillance de routine. Les faits ont été recoupés par KuCoin, ChainCatcher, CryptoNewsZ et Arabian Post.
Comment l’infection fonctionne
Le chargeur injecté dans le script Udesk ne contient pas la charge utile elle-même. Il masque l’adresse de sa cible par un encodage hexadécimal, puis charge de façon asynchrone deeps.js depuis le faux domaine. Toute page qui exécute le fichier compromis exécute donc aussi le code distant, que les attaquants peuvent faire évoluer côté serveur. L’enquête ne précise pas comment l’injection a été réalisée chez Udesk, ni depuis quand elle est active : seule la date des fichiers, le 16 octobre 2026, est établie.
Deux effets distincts
Le script malveillant fait deux choses qui n’ont pas les mêmes victimes ni les mêmes parades.
Le vol de données de session. Le code lit les cookies, le localStorage et le sessionStorage de la page, intercepte les formulaires et les requêtes de connexion, puis envoie le tout à udeskqlobal[.]com/c.php. SlowMist indique que cela peut permettre d’usurper des sessions ou de prendre le contrôle de comptes. Ce comportement n’est pas limité par les règles du site cible : des pages qui ne sont pas explicitement visées peuvent être touchées. Le risque concerne donc tout site qui charge le fichier, crypto ou non.
Le détournement d’adresses de dépôt. Le script remplace les adresses de dépôt de cryptomonnaies (BTC, EVM, TRON, Solana, LTC, DOGE) par des portefeuilles contrôlés par les attaquants. Il peut aussi modifier le contenu du presse-papiers, de sorte qu’une adresse copiée puis collée mène ailleurs. SlowMist emploie le conditionnel pour le presse-papiers : c’est une capacité décrite, pas un cas constaté. Ce volet ne concerne que les utilisateurs de plateformes d’échange affectées.
Ce que l’enquête établit, et ce qu’elle laisse ouvert
SlowMist a identifié des mécanismes distincts touchant au moins trois plateformes d’échange de cryptomonnaies. Les sites mgbx.com et bitxex.io sont cités en lien avec la compromission. Le degré de certitude sur ce périmètre est moyen, et la liste ne doit pas être lue comme exhaustive.
- Le nombre total de sites touchés n’est pas quantifié.
- Aucune perte financière n’est confirmée.
- Rien n’établit que toutes les installations Udesk soient compromises : les conclusions portent sur les échantillons analysés.
- Aucune réaction ni correctif d’Udesk ne figure dans les éléments publiés à ce stade.
Une installation qui n’a pas chargé le fichier compromis n’est donc pas, en l’état, présumée affectée. À l’inverse, l’absence de pertes confirmées ne dit pas que le risque est nul : elle reflète l’état de l’enquête.
Que vérifier maintenant
Tout dépend de deux variables : votre site ou vos outils chargent-ils un script Udesk, et utilisez-vous une plateforme d’échange liée à la compromission ?
Si vous exploitez un site ou une application qui intègre Udesk, cherchez dans le code de vos pages, vos modèles et vos journaux de requêtes :
- le fichier
udeskApi.2026-10-16.cached.js; - le domaine
udeskqlobal[.]com, avec son « q », ainsi quedeeps.jset le chemin/c.php; - toute requête sortante vers ce domaine, qu’un filtrage DNS ou un pare-feu peut aussi bloquer.
Si le fichier est présent ou si des connexions vers le faux domaine apparaissent, la recherche ne fournit pas de procédure de remédiation détaillée. La logique découle toutefois de ce que fait le code : les sessions et identifiants qui ont transité sur les pages concernées sont à considérer comme exposés. C’est une déduction à partir du comportement décrit, pas une consigne publiée par SlowMist.
Même démarche que pour d’autres alertes récentes de la chaîne d’approvisionnement logicielle, comme les failles critiques de PHP déjà exploitées : inventorier ce qui tourne réellement chez soi avant de conclure à l’exposition ou à son absence.
Si vous utilisez des plateformes d’échange, comparez systématiquement l’adresse de dépôt affichée avec celle fournie par une source indépendante, et revérifiez l’adresse collée avant de valider un transfert. Les caractères de début et de fin ne suffisent pas à eux seuls pour écarter un remplacement.
Côté détection, SlowMist indique que sa plateforme MistEye a diffusé des alertes et intégré les fichiers malveillants et les indicateurs identifiés. La synthèse disponible s’arrête avant le détail de ses recommandations : il faut se reporter à la publication d’origine de SlowMist pour la liste complète des indicateurs.