Se ha detectado una nueva técnica de ransomware capaz de ejecutarse completamente dentro de un navegador web, sin necesidad de instalar aplicaciones ni tener acceso root. El ataque aprovecha una función legítima de Chrome diseñada para la edición de fotos para cifrar los directorios de imágenes en Android, iniciando el proceso simplemente al abrir una página web que promete mejorar una fotografía.

Una nueva técnica de ransomware puede ejecutarse ahora enteramente dentro de un navegador web, sin necesidad de instalar aplicaciones ni de tener acceso root. Esta técnica tiene como objetivo los directorios de fotos de Android, abusando de una función legítima de Chrome diseñada para la edición de fotografías.

El ataque comienza con algo tan simple como abrir una página web que promete mejorar una imagen. Este método se basa en la File System Access API, una función de Chrome que permite a los sitios web leer y escribir archivos una vez que el usuario concede el permiso.

Los atacantes disfrazan su solicitud como una herramienta de mejora de fotos, convenciendo a las víctimas para que entreguen el acceso a la carpeta voluntariamente. Una vez concedido el acceso, la página puede cifrar silenciosamente los archivos de imagen almacenados en el dispositivo.

La técnica apareció por primera vez dentro de un código generado por un modelo de inteligencia artificial, en lugar de haber sido creado por un atacante humano. El sistema de IA combinó una idea de ransomware ficticia con una capacidad real del navegador, convirtiendo un concepto defectuoso en un plano de ataque viable.

Check Point señaló en un informe que identificaron la muestra mientras revisaban archivos vinculados al modelo de IA DeepSeek.

La muestra se hacía llamar InfernoGrabber y fue construida como un optimizador de avatares con temática de Discord, aunque su verdadero propósito era robar y bloquear archivos personales. Una parte del código desordenado destacaba: la capacidad de solicitar acceso a carpetas y manipular los archivos en su interior.

Esa única pieza funcional se convirtió en la base de una prueba de concepto que los investigadores construyeron posteriormente, confirmando que el riesgo era real y no meramente teórico.

Ransomware solo en el navegador

La File System Access API fue diseñada para herramientas legítimas, como editores de fotos en línea y aplicaciones de documentos. Permite que una página web solicite permiso para leer o modificar archivos en una carpeta elegida y, una vez aprobado, la página puede actuar sobre esa carpeta directamente.

Esta función ha existido en Chrome para escritorio desde la versión 86 y llegó a Android con Chrome 132.

Los investigadores probaron la técnica en dispositivos Android que ejecutaban Chrome 148 y descubrieron que la raíz de las carpetas predeterminadas de Imágenes y Vídeos, incluido el directorio DCIM, no estaba restringida.

Esto es importante porque las galerías de fotos de Android suelen contener documentos de identidad, capturas de pantalla bancarias y años de recuerdos personales. Un optimizador de fotos por IA falso ofrece a los usuarios una razón sencilla para aprobar el acceso a la carpeta.

Durante las pruebas, el proceso pareció completamente normal. Un usuario abre una página, elige una foto, selecciona una carpeta para guardar la versión mejorada y concede el permiso que Chrome solicita.

Detrás de ese flujo normal, la página puede cifrar silenciosamente cada imagen de la carpeta durante lo que parece ser un procesamiento rutinario.

De la alucinación de la IA a la prueba funcional

Cuando los investigadores le pidieron directamente al modelo DeepSeek V4 un ransomware, este se negó en cada ocasión. Eliminar palabras desencadenantes obvias como "ransomware" mientras se mantenía la misma intención llevó a resultados diferentes según el modo utilizado.

En un intento, el modelo describió su propia respuesta como una trampa que combinaba una interfaz convincente con un comportamiento dañino oculto, y aun así produjo el código.

Intentos comparables contra otros sistemas de IA conocidos fallaron por completo o produjeron versiones más seguras que evitaban la arriesgada función del navegador. Esto no significa que otros sistemas sean inmunes, ya que un usuario paciente podría ensamblar el mismo ataque a partir de solicitudes que parezcan inofensivas.

La superposición de la nota de rescate, diseñada al estilo de InfernoGrabber, exigía el pago en Bitcoin y amenazaba con filtrar los datos robados.

Los investigadores aún no han visto esta técnica exacta utilizada en ataques reales, pero la demostración muestra que la barrera de entrada es ahora baja.

Debido a que el riesgo reside en cómo se conceden los permisos y no en un fallo que pueda ser parcheado, la precaución es fundamental. Trata cualquier solicitud de acceso a carpetas como una decisión que merece una pausa.

Evita dirigir herramientas desconocidas hacia carpetas que contengan fotos personales o documentos de identidad, y elige en su lugar una carpeta temporal para hacer pruebas. Las aplicaciones consolidadas y los servicios en la nube confiables siguen siendo la opción más segura para las colecciones de fotos importantes.

Las copias de seguridad regulares, ya sean fuera de línea o en la nube, reducen el daño si los archivos son cifrados de esta manera. Actualizar Chrome y Android regularmente también ayuda, ya que los fabricantes continúan perfeccionando estos permisos.

Este caso demuestra cómo la inteligencia artificial puede convertir un riesgo teórico del navegador en una técnica de ataque real y funcional.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.