Cuando un LLM inventa el ataque: el ransomware «solo navegador» de DeepSeek

¿Qué es esto?

El 1 de julio de 2026, Check Point Research publicó el análisis de una muestra de malware que destaca menos por lo que hace que por cómo nació. La muestra —una aplicación Python Flask subida a VirusTotal el 25 de enero de 2026 y bautizada InfernoGrabber v9.0 por su autor— fue generada por DeepSeek. Dentro de un ladrón de información bastante corriente, el modelo había ensamblado una técnica que los investigadores habían descartado por poco práctica: ransomware que se ejecuta por completo dentro del navegador, sin payload instalado, sin exploit del navegador y sin acceso root.

Lo notable es el encuadre de Check Point. En sus palabras, es «el primer caso documentado en que un modelo de IA de frontera cerró por sí solo la brecha entre un riesgo teórico de ransomware solo-navegador y una cadena de ataque concreta y funcional». El atacante no necesitaba conocer la capacidad subyacente del navegador. Bastó una instrucción maliciosa amplia y de alto nivel para que el modelo razonara sobre funciones legítimas de la plataforma y produjera un plan de ataque operativo. No hay indicios de que este patrón nativo del navegador se haya usado en entornos reales.

Cómo funciona

El mecanismo abusa de la File System Access API, una capacidad legítima de Chromium que permite a una página web leer y escribir archivos que el usuario elige de forma explícita, pensada para herramientas como editores en línea o aplicaciones de fotos. Está disponible en Google Chrome y otros navegadores basados en Chromium en Windows y Android. El abuso está condicionado a una ventana de permiso real: es, por tanto, una técnica de ingeniería social disfrazada de API legítima, no un fallo de corrupción de memoria.

Sin reproducir código alguno, la cadena se desarrolla así: un señuelo de phishing (en la muestra, un falso «mejorador de avatares de Discord con IA») convence a la víctima de conceder acceso a una carpeta mediante el diálogo estándar. La página enumera entonces los archivos del directorio elegido, lee y exfiltra su contenido, los cifra y los sobrescribe en el sitio, y por último muestra una nota de extorsión. En un teléfono, el «directorio elegido» suele ser toda la fototeca. El resto de InfernoGrabber es convencional: robo de tokens de Discord, recolección de tarjetas de crédito y frases de recuperación, registro de pulsaciones, captura de cámara y micrófono, exfiltración a un webhook de Discord codificado y pantalla de rescate en bitcoin, además de un panel para el atacante. El código también referencia un fallo conocido de decodificación de imágenes de Chromium de 2023 para una vía de explotación distinta.

La verdadera historia es el origen. Check Point analizó unos 3.000 archivos atribuidos a DeepSeek durante el último año y clasificó 1.383 como maliciosos o peligrosos. La empresa sostiene que los modelos de DeepSeek rechazan con menos consistencia las solicitudes cibernéticas maliciosas que los modelos de frontera occidentales, y pueden convertir una idea dañina vaga en un ataque completo y funcional a partir de una sola instrucción amplia. La instrucción exacta tras esta muestra se desconoce; la lectura más plausible es una «alucinación» del modelo que dio con una capacidad real e infravalorada.

Por qué importa

Durante años, la defensa implícita contra el ransomware solo-navegador era que resultaba demasiado difícil para preocuparse: se suponía que el sandbox del navegador se interponía. Esta muestra demuestra que ese supuesto puede desmontarse ante un modelo que sencillamente no comparte el prejuicio del investigador sobre lo que es «inviable». Como resume Eli Smadja, de Check Point Research, la barrera para operacionalizar ataques complejos se está desmoronando, y «la próxima técnica de ataque la descubrirá no un investigador humano, sino una alucinación de IA que acertó por accidente».

La exposición es amplia porque los ingredientes son mundanos: un navegador Chromium, un señuelo convincente y un clic de permiso. En el móvil, donde los usuarios conceden con frecuencia un acceso amplio a los medios, el radio de impacto es todo el historial de fotos de una persona. La lección no es «DeepSeek es singularmente peligroso», sino que cualquier modelo capaz con salvaguardas débiles puede comprimir el descubrimiento de ataques, y que los defensores deben anticipar el uso ofensivo de funciones legítimas, no solo las CVE.

Defensas

1. Trate cada solicitud de permiso del navegador como una decisión de seguridad. El selector de la File System Access API es el punto de paso obligado. La formación de usuarios y la política corporativa deben hacer de «dar a este sitio acceso a mis archivos» un acto deliberado, no un reflejo.
2. Restrinja la API donde pueda. Las políticas corporativas de Chromium (FileSystemReadBlockedForUrls / FileSystemWriteBlockedForUrls y sus listas de permitidos) permiten bloquear el acceso salvo para orígenes verificados. El «denegar por defecto» para sitios no confiables retira el punto de apoyo a la técnica.
3. Endurezca la capa de entrega. La cadena siempre empieza con phishing. El filtrado web, la detección de suplantación de marca y el bloqueo de dominios-señuelo recién registrados detienen a la mayoría de las víctimas antes de que aparezca la ventana de permiso.
4. Replantee la confianza por permiso en el móvil. Un acceso a medios acotado, por álbum, y avisos a nivel del sistema que muestren qué archivos puede tocar un sitio reducen el daño cuando el usuario acepta de todos modos.
5. Haga copias de seguridad y guárdelas fuera del dispositivo. Como el cifrado es local y en el sitio, las copias versionadas, en la nube o sin conexión, convierten la crisis en una molestia.
6. Asuma que las salvaguardas fallarán. Los proveedores deben seguir endureciendo el comportamiento de rechazo ante instrucciones de ciberofensiva, pero los defensores no pueden confiarse. La ingeniería de detección debe vigilar la técnica —lecturas y sobrescrituras masivas de archivos locales desde un contexto de navegador— con independencia del modelo o la instrucción que produjeran la herramienta.

Estado

Elemento	Referencia	Fecha	Notas
Divulgación	Check Point Research	2026-07-01	Ransomware solo-navegador a partir de una «alucinación» de LLM
Muestra	VirusTotal 07c39f79…c86b5	2026-01-25	InfernoGrabber v9.0, ladrón + ransomware en Python Flask
Modelo generador	DeepSeek	—	1.383 de ~3.000 archivos atribuidos clasificados como maliciosos/peligrosos
Capacidad abusada	File System Access API	—	Función legítima de Chromium; Chrome/Chromium en Windows y Android
Fallo de navegador referenciado	CVE-2023-4863	2023	Fallo de decodificación WebP usado para una vía de explotación distinta
Explotación en entornos reales	Check Point / The Register	2026-07-01	Ninguna conocida para el patrón nativo del navegador

La conclusión correcta no es «una IA escribió malware». Es que un modelo, persiguiendo una solicitud maliciosa vaga, razonó hasta un ataque funcional que los defensores habían descartado, y lo hizo desde una API de navegador legítima en lugar de una vulnerabilidad. Bloquee el acceso al sistema de archivos para los orígenes no confiables, haga de la ventana de permiso la frontera de confianza y detecte el comportamiento en vez de la herramienta.