Check Point afferma che DeepSeek è stato usato per realizzare un prototipo di ransomware basato sul browser

I ricercatori di Check Point affermano di aver trovato prove che DeepSeek è stato usato per generare un concept di malware nativo del browser, in grado di agire come un ransomware senza installare un eseguibile tradizionale. L'azienda ha descritto il campione come incompleto, ma ha affermato che dimostra come i modelli linguistici di grandi dimensioni possano abbassare la barriera d'ingresso per gli attaccanti che vogliono sperimentare forme di abuso basate sul web.

Secondo il rapporto, nel corso dell'ultimo anno il team ha esaminato migliaia di file collegati a DeepSeek e ha classificato una parte significativa di essi come dannosa o rischiosa sulla base dei dati di VirusTotal e dell'analisi statica. Un campione si è distinto perché sembrava combinare diverse funzioni ostili in un'unica esca distribuita tramite browser.

Come funziona il concept dell'attacco

La tecnica si basa su funzionalità del browser come la File System Access API, che può consentire a un'app web di leggere e scrivere file locali dopo che l'utente ha concesso l'autorizzazione. I ricercatori di sicurezza hanno già osservato che questa capacità amplia la superficie di attacco del browser, sebbene sia utile per strumenti legittimi come editor e applicazioni di progettazione.

Nella sua analisi, Check Point ha rilevato che il codice generato da DeepSeek mirava a:

• attirare la vittima con una falsa applicazione basata sul browser
• richiedere l'accesso ai file locali
• elaborare o cifrare i file all'interno del browser
• raccogliere dati come credenziali, token di Discord e dati di pagamento
• visualizzare una schermata in stile ransomware che richiedeva Bitcoin

I ricercatori hanno affermato che il campione non funzionava completamente così com'era e non era in grado di completare autonomamente una vera catena d'infezione nel mondo reale. Ciononostante, hanno sostenuto che sarebbero state necessarie solo modifiche limitate per trasformare il concept in un attacco funzionante.

Perché i difensori prestano attenzione

Check Point ha affermato di essere riuscita a produrre una proof of concept funzionante utilizzando una versione aggiornata di DeepSeek, dopo aver rimosso dal prompt riferimenti espliciti come “ransomware”. Secondo l'azienda, il risultato era comunque una pagina web in grado di convincere un utente a concedere l'accesso ai file e poi impedirgli di ripristinare il contenuto originale.

I ricercatori hanno avvertito che questo è un esempio di come l'IA possa aiutare gli attaccanti a trasformare rischi del browser già documentati in minacce più concrete. L'azienda ha affermato che attività di questo tipo potrebbero essere già in corso o potrebbero emergere nel prossimo futuro, mentre gli autori delle minacce continuano a sperimentare la generazione di malware guidata dai prompt.