Check Point segnala un concetto di ransomware per browser prodotto dall’IA tramite le API di Chromium

I ricercatori di Check Point affermano di aver identificato un campione di malware generato con DeepSeek che combina un’idea di ransomware esclusivamente per browser con una funzionalità legittima di Chromium, creando una catena d’attacco funzionante che opera senza un payload nativo tradizionale.

Il campione, caricato su VirusTotal nel gennaio 2026 con il nome deepseek_python_20260125_da0631.py, è stato descritto dalla piattaforma di scansione come uno strumento funzionale per il furto di informazioni e il ransomware. Secondo quanto riferito, l’autore del malware si riferiva al progetto come InfernoGrabber v9.0.

Come funzionava il malware

Secondo Check Point, l’applicazione basata su Python si presentava come un falso strumento di miglioramento dei gravatar AI di Discord per attirare le vittime. Una volta eseguita, poteva sottrarre token di Discord, raccogliere dati delle carte di credito e frasi seed delle criptovalute, registrare i tasti premuti e acquisire senza autorizzazione le attività della webcam e del microfono.

La parte più insolita del codice riguardava il suo comportamento ransomware esclusivamente per browser. La tecnica si basa sulla capacità di convincere un utente a concedere a un sito l’accesso ai file locali tramite la File System Access API, una funzionalità disponibile nei browser basati su Chromium. Da quel momento, la pagina può enumerare i file selezionati, leggerne ed esfiltrarne i contenuti, crittografarli o sovrascriverli e visualizzare un messaggio di estorsione.

Check Point ha affermato che questo approccio sembra essere il primo caso documentato in cui un modello di IA ha collegato autonomamente un concetto teorico di ransomware per browser a un’implementazione pratica. I ricercatori hanno osservato che non erano necessari exploit del browser, accesso root o malware installato.

Piattaforme interessate e limitazioni

La tecnica è stata testata con successo su Windows, macOS, Linux, Android e Microsoft Edge su Windows. Secondo i ricercatori, non è stato possibile riprodurla su iOS. Poiché l’attacco dipende dal comportamento di accesso ai file di Chromium, potrebbe interessare un’ampia gamma di utenti desktop e mobili.

Perché è importante

Gli analisti della sicurezza hanno affermato che i risultati evidenziano come i modelli linguistici di grandi dimensioni possano ridurre le competenze necessarie per creare strumenti offensivi. In questo caso, il modello ha prodotto un percorso d’attacco funzionante a partire da una richiesta malevola generica, anche se l’aggressore potrebbe non essere stato a conoscenza dell’esistenza dell’API sottostante.

• Check Point ha dichiarato di aver esaminato circa 3.000 file relativi a DeepSeek e di averne classificati 1.383 come dannosi o pericolosi.
• Non sono state trovate prove dell’utilizzo di questo metodo di ransomware nativo del browser in campagne reali.
• I ricercatori hanno esortato le organizzazioni a considerare le richieste di autorizzazione del browser come azioni sensibili per la sicurezza.