Check Point warnt vor KI-generiertem Browser-Ransomware-Konzept unter Nutzung der Chromium-API

Forscher von Check Point eigenen Angaben zufolge eine mit DeepSeek generierte Malware-Probe identifiziert, die ein ausschließlich browserbasiertes Ransomware-Konzept mit einer legitimen Chromium-Funktion verbindet und eine funktionierende Angriffskette ermöglicht, die ohne eine herkömmliche native Payload auskommt.

Die Probe wurde im Januar 2026 unter dem Namen deepseek_python_20260125_da0631.py auf VirusTotal hochgeladen und von der Scan-Plattform als funktionsfähiges Informationsdiebstahl- und Ransomware-Toolkit beschrieben. Der Malware-Autor bezeichnete das Projekt Berichten zufolge als InfernoGrabber v9.0.

So funktionierte die Malware

Laut Check Point gab sich die Python-basierte Anwendung als gefälschter KI-Upscaler für Discord-Avatare aus, um Opfer anzulocken. Nach dem Start konnte sie Discord-Token stehlen, Kreditkartendaten und Krypto-Seed-Phrasen sammeln, Tastatureingaben protokollieren sowie ohne Genehmigung Aktivitäten von Webcam und Mikrofon aufzeichnen.

Der ungewöhnlichere Teil des Codes war sein ausschließlich browserbasiertes Ransomware-Verhalten. Die Technik beruht darauf, einen Nutzer davon zu überzeugen, einer Website über die File System Access API Zugriff auf lokale Dateien zu gewähren – eine Funktion, die in Chromium-basierten Browsern verfügbar ist. Anschließend kann die Seite ausgewählte Dateien auflisten, deren Inhalte auslesen und exfiltrieren, sie verschlüsseln oder überschreiben und eine Erpressungsnachricht anzeigen.

Check Point zufolge scheint dies der erste dokumentierte Fall zu sein, in dem ein KI-Modell ein theoretisches Browser-Ransomware-Konzept eigenständig mit einer praktischen Umsetzung verbunden hat. Die Forscher stellten fest, dass weder ein Browser-Exploit noch Root-Zugriff oder installierte Malware erforderlich waren.

Betroffene Plattformen und Einschränkungen

Die Technik wurde erfolgreich unter Windows, macOS, Linux und Android sowie mit Microsoft Edge unter Windows getestet. Unter iOS ließ sie sich laut den Forschern nicht reproduzieren. Da der Angriff von Chromiums Verhalten beim Dateizugriff abhängt, könnte er eine große Zahl von Desktop- und Mobilnutzern betreffen.

Warum das wichtig ist

Sicherheitsanalysten erklärten, die Ergebnisse zeigten, wie große Sprachmodelle die erforderlichen Fähigkeiten zum Erstellen offensiver Tools senken können. In diesem Fall erzeugte das Modell aus einer allgemein formulierten bösartigen Anfrage einen funktionsfähigen Angriffspfad, obwohl der Angreifer möglicherweise nicht gewusst hatte, dass die zugrunde liegende API existiert.

• Check Point zufolge wurden rund 3.000 Dateien mit Bezug zu DeepSeek überprüft; 1.383 davon wurden als bösartig oder gefährlich eingestuft.
• Es gibt bislang keine Hinweise darauf, dass diese browsernative Ransomware-Methode bei realen Kampagnen eingesetzt wurde.
• Die Forscher rieten Unternehmen, Berechtigungsabfragen des Browsers als sicherheitskritische Aktionen zu behandeln.