Sembra DeepSeek, ma ti ruba tutto: il malware che inganna anche i più esperti

Arriva un nuovo allarme sicurezza dagli esperti di Kaspersky GReAT, che hanno individuato una sofisticata campagna malware mirata a colpire gli utenti interessati all'intelligenza artificiale. I cybercriminali, sfruttando la popolarità del modello linguistico DeepSeek-R1, hanno distribuito un malware sconosciuto attraverso un falso sito web che replica fedelmente la homepage ufficiale della piattaforma.

Il sito fraudolento veniva promosso tramite Google Ads e compariva tra i risultati sponsorizzati quando un utente cercava termini come "deepseek r1". Una volta cliccato il link, la vittima veniva reindirizzata a un dominio dall'aspetto autentico, dove un test CAPTCHA dava accesso a un presunto download di strumenti per eseguire LLM offline, come Ollama o LM Studio.

Tuttavia, accanto ai software legittimi, veniva installato un malware denominato BrowserVenom, capace di alterare la configurazione dei browser presenti sul sistema. Il malware forzava il traffico Internet a passare attraverso proxy controllati dai criminali, consentendo loro di intercettare dati sensibili, come password e altre informazioni personali.

Il codice malevolo riusciva ad aggirare le difese di Windows Defender tramite un algoritmo apposito, ma l'installazione aveva successo solo se l'utente Windows disponeva di privilegi amministrativi. In caso contrario, l'infezione non veniva completata.

Secondo Kaspersky, le infezioni sono già state riscontrate in Brasile, Cuba, Messico, India, Nepal, Sudafrica ed Egitto, e potrebbero espandersi ulteriormente. La possibilità di utilizzare LLM offline, pur essendo una caratteristica vantaggiosa per la privacy e l'autonomia operativa, può rivelarsi un'arma a doppio taglio, sfruttata dai cybercriminali per infettare dispositivi con apparente facilità.

Lisandro Ubiedo, ricercatore di sicurezza presso Kaspersky GReAT, ha sottolineato come le soluzioni open-source legate all'intelligenza artificiale stiano diventando un obiettivo sempre più frequente per la distribuzione di malware, tra cui keylogger, cryptominer e infostealer, soprattutto quando installate da fonti non ufficiali. 

Per proteggersi da simili attacchi, Kaspersky consiglia:

• Verificare sempre l'autenticità degli URL prima di effettuare un download
• Scaricare software LLM solo da siti ufficiali, come ollama.com o lmstudio.ai
• Affidarsi a soluzioni di sicurezza affidabili in grado di bloccare file potenzialmente dannosi
• Diffidare dei risultati sponsorizzati se non chiaramente riconducibili a fonti note
• Evitare l'uso quotidiano del PC con un profilo amministratore, se non strettamente necessario