Check Point signale un concept de rançongiciel basé sur un navigateur et généré par l’IA, utilisant l’API de Chromium

Des chercheurs de Check Point affirment avoir identifié un échantillon de logiciel malveillant généré avec DeepSeek, qui associe un concept de rançongiciel exécuté uniquement dans le navigateur à une fonctionnalité légitime de Chromium, créant ainsi une chaîne d’attaque opérationnelle sans charge utile native traditionnelle.

L’échantillon, téléversé sur VirusTotal en janvier 2026 sous le nom deepseek_python_20260125_da0631.py, a été décrit par la plateforme d’analyse comme un voleur d’informations et une boîte à outils de rançongiciel fonctionnels. L’auteur du malware aurait désigné le projet sous le nom InfernoGrabber v9.0.

Fonctionnement du malware

Selon Check Point, l’application basée sur Python se faisait passer pour un outil d’amélioration d’avatars Discord par IA afin d’attirer les victimes. Une fois exécutée, elle pouvait voler des jetons Discord, recueillir des informations de cartes bancaires et des phrases de récupération de cryptomonnaies, enregistrer les frappes au clavier et capturer l’activité de la webcam et du microphone sans autorisation.

L’aspect le plus inhabituel du code était son comportement de rançongiciel exécuté uniquement dans le navigateur. Cette technique consiste à convaincre un utilisateur d’autoriser un site à accéder aux fichiers locaux via l’API File System Access, une fonctionnalité disponible dans les navigateurs basés sur Chromium. À partir de là, la page peut énumérer les fichiers sélectionnés, en lire et exfiltrer le contenu, les chiffrer ou les écraser, puis afficher un message d’extorsion.

Check Point a déclaré que cette approche semblait constituer le premier cas documenté dans lequel un modèle d’IA a associé de manière autonome un concept théorique de rançongiciel pour navigateur à une mise en œuvre pratique. Les chercheurs ont souligné qu’aucun exploit de navigateur, accès root ou malware installé n’était nécessaire.

Plateformes concernées et limites

La technique a été testée avec succès sur Windows, macOS, Linux, Android et Microsoft Edge sous Windows. Elle n’a pas pu être reproduite sur iOS, ont indiqué les chercheurs. Comme l’attaque dépend du comportement de Chromium en matière d’accès aux fichiers, elle pourrait concerner un large éventail d’utilisateurs d’ordinateurs et d’appareils mobiles.

Pourquoi cette découverte est importante

Des analystes en sécurité ont déclaré que ces résultats montrent comment les grands modèles de langage peuvent réduire les compétences nécessaires à la création d’outils offensifs. Dans ce cas, le modèle a produit une chaîne d’attaque fonctionnelle à partir d’une demande malveillante générale, même si l’attaquant ne connaissait peut-être pas l’existence de l’API sous-jacente.

• Check Point a indiqué avoir examiné environ 3 000 fichiers liés à DeepSeek et en avoir classé 1 383 comme malveillants ou dangereux.
• Aucune preuve n’a été découverte montrant que cette méthode de rançongiciel natif du navigateur a été utilisée dans des campagnes réelles.
• Les chercheurs ont recommandé aux organisations de considérer les invites d’autorisation du navigateur comme des actions sensibles du point de vue de la sécurité.