網(wǎng)絡犯罪分子創(chuàng)建了中國AI模型DeepSeek-R1的虛假安裝程序，并植入了名為"BrowserVenom"的未知惡意軟件。

這款惡意軟件因其能夠將瀏覽器流量重定向至攻擊者控制的服務器而得名。該功能使犯罪分子能夠竊取數(shù)據(jù)、監(jiān)控瀏覽活動，并可能暴露明文流量。網(wǎng)站憑據(jù)、會話cookies、金融賬戶信息以及敏感郵件和文檔都面臨風險，這些正是詐騙分子進行數(shù)字欺詐或轉售給其他惡意行為者所需的信息。

目前，該惡意軟件已感染巴西、古巴、墨西哥、印度、尼泊爾、南非和埃及的"多臺"計算機。卡巴斯基發(fā)現(xiàn)了一個釣魚活動，通過將受害者引導至模仿真實DeepSeek主頁的虛假網(wǎng)站來傳播惡意軟件，該公司表示這種威脅仍在"構成全球威脅"。

雖然此次活動中使用的惡意軟件是新的，但利用對AI的興趣傳播惡意載荷的策略越來越常見。此類活動使用域名與真實AI供應商略有不同的釣魚網(wǎng)站，犯罪分子使用惡意廣告和其他策略使其在搜索引擎結果中顯著出現(xiàn)。但這些網(wǎng)站并非提供承諾的聊天機器人或AI工具，而是用各種惡意軟件感染毫無戒心的受害者。

該活動使用了URL：https[:]//deepseek-platform[.]com。

犯罪分子通過從谷歌購買廣告向眾多潛在受害者推廣該地址，使其在用戶搜索"deepseek r1"時顯示為頂部結果。谷歌表示已移除攻擊廣告。谷歌發(fā)言人告訴The Register："在本報告發(fā)布之前，我們檢測到了這個惡意軟件活動并暫停了廣告商的賬戶。"

當Windows用戶訪問該網(wǎng)站時，會提示他們點擊標有"立即嘗試"的按鈕。卡巴斯基觀察到，其他平臺的用戶會看到措辭不同但同樣具有誤導性的按鈕。

點擊按鈕后，用戶會被帶到CAPTCHA驗證頁面，這給網(wǎng)站增添了合法性的外觀。頁面還包含隱藏的JavaScript代碼，用于確保用戶不是機器人，讓犯罪分子知道他們找到了值得攻擊的人類目標。

解決CAPTCHA后，受害者被重定向到包含"立即下載"按鈕的下載頁面。點擊該按鈕會從域名https://r1deepseek-ai[.]com/gg/cc/AI_Launcher_1.21.exe下載惡意安裝程序AI_Launcher_1.21.exe。

據(jù)卡巴斯基稱，犯罪分子的網(wǎng)站代碼包含俄語注釋，表明他們說俄語。然而，該安全公司尚未將此活動歸因于特定的網(wǎng)絡犯罪集團或個人。

安裝程序執(zhí)行時會打開另一個窗口，模仿Cloudflare CAPTCHA（同樣是偽造的），再次驗證受害者是人類。隨后惡意軟件將用戶引導到一個屏幕，為用戶提供下載和安裝Ollama或LM Studio來運行DeepSeek的選項。無論點擊哪個選項都無關緊要：任一選擇都會觸發(fā)BrowserVenom感染。

執(zhí)行時，惡意軟件首先檢查用戶是否具有管理員權限。如果沒有，惡意軟件會停止運行。

對于被認為值得感染的用戶，BrowserVenom會安裝攻擊者創(chuàng)建的硬編碼證書，從而為犯罪分子提供持續(xù)訪問權限并允許他們攔截流量。

BrowserVenom還會向所有當前安裝和運行的瀏覽器添加硬編碼代理服務器地址，這也允許其操作者監(jiān)控受害者的流量。然后他們開始進行邪惡的勾當。