Check Point afirma que DeepSeek se utilizó para crear un prototipo de ransomware basado en navegador

Investigadores de Check Point afirman haber encontrado pruebas de que DeepSeek se utilizó para generar un concepto de malware nativo del navegador que podría actuar como ransomware sin instalar un ejecutable tradicional. La empresa describió la muestra como incompleta, pero señaló que demostraba cómo los modelos de lenguaje de gran escala pueden reducir la barrera de entrada para los atacantes que desean experimentar con abusos basados en la web.

Según el informe, el equipo revisó miles de archivos vinculados a DeepSeek durante el año pasado y clasificó una parte significativa como maliciosa o peligrosa basándose en datos de VirusTotal y análisis estático. Una muestra destacó porque parecía combinar varias funciones hostiles en un único señuelo distribuido a través del navegador.

Cómo funciona el concepto de ataque

La técnica se basa en funciones del navegador como la API File System Access, que puede permitir que una aplicación web lea y escriba archivos locales después de que el usuario conceda permiso. Investigadores de seguridad ya habían señalado que esta capacidad amplía la superficie de ataque del navegador, aunque resulta útil para herramientas legítimas como editores y aplicaciones de diseño.

En el análisis de Check Point, el código generado por DeepSeek pretendía:

• atraer a la víctima con una aplicación falsa basada en el navegador
• solicitar acceso a archivos locales
• procesar o cifrar archivos dentro del navegador
• recopilar datos como credenciales, tokens de Discord y datos de pago
• mostrar una pantalla de estilo extorsivo que exigiera Bitcoin

Los investigadores afirmaron que la muestra no funcionaba completamente tal como estaba escrita y que no podía completar por sí sola una cadena de infección en el mundo real. Aun así, sostuvieron que solo serían necesarios cambios modestos para convertir el concepto en un ataque funcional.

Por qué los defensores están prestando atención

Check Point afirmó que pudo producir una prueba de concepto funcional utilizando una versión actual de DeepSeek después de eliminar del prompt referencias explícitas como “ransomware”. Según la empresa, el resultado seguía siendo una página web capaz de persuadir a un usuario para que concediera acceso a sus archivos y, posteriormente, dejarlo sin posibilidad de restaurar el contenido original.

Los investigadores advirtieron que este es un ejemplo de cómo la IA puede ayudar a los atacantes a convertir riesgos del navegador documentados anteriormente en amenazas más prácticas. La empresa afirmó que esta actividad podría estar ocurriendo ya, o podría surgir en el corto plazo, a medida que los actores de amenazas siguen experimentando con la generación de malware mediante prompts.