Check Point zufolge wurde DeepSeek zur Entwicklung eines browserbasierten Ransomware-Prototyps verwendet

Forscher von Check Point zufolge fanden sie Hinweise darauf, dass DeepSeek zur Erstellung eines browsernativen Malware-Konzepts verwendet wurde, das sich wie Ransomware verhalten könnte, ohne eine herkömmliche ausführbare Datei zu installieren. Das Unternehmen beschrieb das Sample als unvollständig, erklärte jedoch, es zeige, wie große Sprachmodelle die Einstiegshürden für Angreifer senken können, die mit webbasiertem Missbrauch experimentieren wollen.

Dem Bericht zufolge überprüfte das Team im vergangenen Jahr Tausende von Dateien, die mit DeepSeek in Verbindung standen, und stufte einen erheblichen Anteil auf Grundlage von VirusTotal-Daten und statischer Analyse als bösartig oder riskant ein. Ein Sample fiel besonders auf, da es offenbar mehrere schädliche Funktionen in einem einzigen browserübermittelten Köder kombinierte.

So funktioniert das Angriffskonzept

Die Technik stützt sich auf Browserfunktionen wie die File System Access API, über die eine Webanwendung lokale Dateien lesen und schreiben kann, nachdem der Benutzer die entsprechende Berechtigung erteilt hat. Sicherheitsforscher haben bereits darauf hingewiesen, dass diese Funktion die Angriffsfläche des Browsers vergrößert, obwohl sie für legitime Tools wie Editoren und Designanwendungen nützlich ist.

Der Analyse von Check Point zufolge zielte der von DeepSeek erzeugte Code darauf ab:

• das Opfer mit einer gefälschten browserbasierten Anwendung zu ködern
• Zugriff auf lokale Dateien anzufordern
• Dateien innerhalb des Browsers zu verarbeiten oder zu verschlüsseln
• Daten wie Zugangsdaten, Discord-Token und Zahlungsinformationen zu sammeln
• einen bildschirmfüllenden Erpressungshinweis mit der Forderung nach Bitcoin anzuzeigen

Die Forscher erklärten, dass das Sample in der vorliegenden Form nicht vollständig funktionierte und eine reale Infektionskette nicht eigenständig abschließen konnte. Dennoch argumentierten sie, dass nur geringfügige Änderungen erforderlich wären, um das Konzept in einen funktionsfähigen Angriff zu verwandeln.

Warum Verteidiger aufmerksam werden

Check Point erklärte, es habe mithilfe einer aktuellen Version von DeepSeek einen funktionierenden Proof of Concept erstellen können, nachdem ausdrückliche Begriffe wie „Ransomware“ aus dem Prompt entfernt worden waren. Das Ergebnis sei weiterhin eine Webseite gewesen, die einen Benutzer dazu bringen konnte, den Dateizugriff zu gewähren, und ihn anschließend daran hinderte, die ursprünglichen Inhalte wiederherzustellen.

Die Forscher warnten, dass dies ein Beispiel dafür sei, wie KI Angreifern dabei helfen kann, bereits dokumentierte Browserrisiken in praktischere Bedrohungen umzuwandeln. Das Unternehmen erklärte, solche Aktivitäten könnten bereits stattfinden oder in naher Zukunft auftreten, da Bedrohungsakteure weiterhin mit der promptgesteuerten Generierung von Malware experimentieren.