CheckPoint нашла браузерный вирус-вымогатель — он обходит антивирусы через легитимный доступ к файлам

Исследователи Check Point обнаружили новый тип вирусного ПО. Зловред, который был предположительно сгенерирован с помощью DeepSeek, представляет собой образец программы-вымогателя (ransomware), работающего исключительно внутри браузера на Windows, macOS, Linux, ChromeOS и Android, использующего в качестве метода атаки API доступа к файловой системе (File System Access API). Как отмечается в исследовании Check Point, образец был неполным, но он выявил фактический путь взлома. 

Check Point уточняет, что данный тип ВПО, нацеленный на браузеры, ранее не встречался в реальных условиях. Исследователи называют его «In-Browser-Ransomware». Техника использует фишинговые сайты, чтобы убедить пользователя предоставить доступ к файловой системе веб-страницы.

Как работает атака

Если жертва открывает доступ вредоносному ПО, оно анализирует локальные файлы в папке с разрешённым доступом, читает их, а позже шифрует и перезаписывает. После этого пользователь видит сообщение с требованием выкупа. Check Point отмечает — всё это происходит без использования уязвимостей браузера.

Ключевым примером подобного рода угроз компания называет HTML/JavaScript-образец, маскирующийся под Discord AI Upscaler. Как указано в исследовании, исходный код образца не был найден, однако можно было предположить, что он был широко сформулирован в виде объёмного промпта для DeepSeek. Также Check Point подчеркнула, что в основе кода лежит сгенерированный ИИ шаблон, в котором нейросеть попыталась реализовать известные функции программ-похитителей в формате веб-страницы, открытой в браузере.

Страница с вредоносным образцом замаскирована под инструмент для масштабирования аватаров в мессенджере Discord при помощи ИИ. Check Point, описывая работу приманки, отмечает, что после нажатия кнопки, предназначенной для жертвы, запускается последовательность вредоносных действий в браузере. После фейкового этапа обработки изображения модель предполагает вывод окна с требованием выкупа.

Тем не менее компания заявила — большая часть функционала в образце нарушается на уровне браузера. Основная причина — галлюцинации ИИ, которые могли появиться из-за неточного промпта. Однако отдельные элементы образца в самом деле могут использоваться для настоящих атак. Например, исследователи заметили, что среди множества неработающих возможностей модель использовала File System Access API — система поняла: если пользователь сам даст браузеру доступ к папке, то через этот API можно читать файлы, изменять и переписывать их.

В ходе исследования компания попробовала доработать образец, чтобы выяснить, способен ли DeepSeek сгенерировать программу-вымогатель. Несмотря на то, что ИИ отказывался создавать код для вирусного ПО при прямом запросе, Check Point, удалив из промпта явные термины по типу «программа-вымогатель» и описав функции более нейтрально, смогла добиться создания рабочего браузерного вируса-вымогателя.

Примечательно, что другие модели, такие как Claude и ChatGPT, отказывались помогать в создании вредоносного ПО либо создавали ограниченные и безопасные для браузеров решения, которые не использовали API, отметила компания. Исследователи проверили созданный вирус-вымогатель на практике и выяснили, что с его помощью можно полноценно прочитать и зашифровать файлы. В ходе проверки было выявлено, что наибольшую угрозу такой образец может представлять для систем Android.

Check Point выделила, что папки с фотографиями на телефонах представляют собой хранилища ценной информации. В случае же с определёнными ОС всё ещё хуже — современные версии Chrome для Android, в отличие от iOS, предоставляют API браузера, что позволяет веб-страницам читать и изменять файлы после подтверждения пользователя. Компания рекомендует настороженно относиться к запросам из браузера, а также чаще обновлять браузеры и мобильные ОС.

Мнение эксперта

Ранее стало известно, что японская компания GlobalSign начала вторую волну отзыва TLS-сертификатов, подтверждающих подлинность ресурса, у российских сайтов. Об этом писал РБК. Руководитель направления развития продуктов кибербезопасности Cloud.ru Максим Долгинин в комментарии для SecPost отметил, что кейсы, подобные тому, что был разобран Check Point, не имеют прямой связи с отзывом сертификатов из России.

По мнению специалиста, отсутствие сертификатов не только повысит вероятность попасться на угрозы с использованием API, но и в целом повлияет на рост удачных фишинговых кейсов: пользователи просто перестанут смотреть на подлинность сайта. Помимо этого, Долгинин выразил мнение, что браузер в самом деле постепенно становится полноценной площадкой для проведения атак без установки вредоносного ПО.

Эксперт отметил, что ключевой фактор заключается в сочетании браузера как самого распространённого ПО с широким набором API и современных ИИ-моделей. При этом классические антивирусы в основном отслеживают файловую активность, а не процессы внутри браузера. В результате злоумышленники получают возможность использовать это «слепое пятно» СЗИ для проведения атак.

Помимо этого, Долгинин заявил, что вероятность использования таких атак в будущем довольно высокая: «Экономика атаки привлекательна для операторов вредоносного ПО: не нужен эксплойт, не нужны права администратора, работает кроссплатформенно, включая macOS и Linux, которые обычно менее покрыты классическим ransomware».

Также эксперт отмечает, что технику уже опубликовали, следовательно, порог для копирования снижен. Другая проблема заключается в том, что инженерная обёртка (фейковые AI-инструменты, конвертеры, апскейлеры) достаточно дешёвая в создании и хорошо резонирует с популярностью ИИ. Помимо этого, File System Access API поддерживается во всех Chromium-based браузерах (Chrome, Edge, Opera, Yandex Browser и т. д.) — «охват потенциальных жертв огромен».

Эксперт считает, что в данный момент отечественные средства защиты способны обнаружить подобную атаку только после её начала, по паттерну шифрования файлов на диске. Несмотря на то, что у ряда российских EDR/XDR есть модули поведенческого анализа браузерных расширений и скриптов, Долгинин считает, что обнаружение подобного паттерна — нетривиальная задача, которая требует либо browser-native телеметрии (Chrome Enterprise, DLP-расширения для браузера), либо поведенческой аналитики на уровне EDR с интеграцией в браузерные события.

«Антивирусы и EDR анализируют файловую активность, процессы, сетевые соединения на уровне операционной системы, а тут вредоносный код исполняется во вкладке браузера, файлы читаются и шифруются через легитимный процесс браузера с легитимными вызовами. С точки зрения этих СЗИ, это браузер работает с файлами, на доступ к которым у него есть разрешение», — заключил Долгинин.

Ранее SecPost писал о фишинговой кампании с топливной тематикой, в ходе которой было разослано около 3 тыс. писем российским пользователям. В них пользователей просят заполнить анкету, вопросы которой включали регион использования и госномер автомобиля. «Лаборатория Касперского» отметила, что результатом атаки может стать дальнейшая работа с жертвами через мессенджеры и звонки.