BrowserVenom, il malware che sfrutta DeepSeek per rubare dati. Può colpire anche in Italia?

Simone D'Agostino : 17 Giugno 2025 11:18

Autori: Simone D’Agostino e Antonio Piovesan

Abbiamo spesso parlato di casi di vettori di attacco come e-mail/sms di phishing, siti abbeveratoio (watering hole) o altro riconducibile in generale a social engineering, quest’oggi invece vi parleremo di una nuova modalità che sfrutta una tecnologia nata da pochi anni e che si sta sempre più diffondendo.

Il 12 giugno 2025, Kaspersky GReAT ha pubblicato un’allerta riguardante una sofisticata campagna malware che sfrutta la crescente diffusione di modelli linguistici offline (Offline LLM) per colpire utenti Windows.Il malware, mai emerso prima, è stato denominato BrowserVenom: è progettato per intercettare il traffico web delle vittime, rubando credenziali e informazioni personali.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ma la vera novità è appunto il vettore d’inganno: si presenta come una falsa versione installabile del noto LLM DeepSeek-R1.

Come funziona l’attacco

BrowserVenom si diffonde attraverso un sito fake che replica in modo credibile la homepage di DeepSeek-R1, uno dei modelli open-source più ricercati del momento, in grado di funzionare offline tramite strumenti come Ollama o LM Studio.

Catena d’infezione:

• L’utente cerca “DeepSeek R1” su Google;
• Clicca su un risultato pubblicitario o SEO manipolato;
• Apre una pagina che emula la UI ufficiale;
• Scarica un falso installer (che include Ollama o LM Studio contraffatti), al cui interno è incorporato anche BrowserVenom;
• Se l’utente dispone di privilegi di amministratore, il malware si installa e modifica i proxy dei browser.

Impatto tecnico

Una volta installato, BrowserVenom:

• Devia tutto il traffico web (HTTP/HTTPS) verso proxy remoti controllati dagli attaccanti;
• Intercetta dati di navigazione: cookie, credenziali, contenuti dei form, cronologia;
• Aggira Windows Defender mediante tecniche di evasione comportamentale;
• Persiste nel sistema modificando i file di configurazione proxy nei browser principali (Chrome, Edge, Firefox).

Analisi OSINT: come è emerso deepseek-r1.com

La nostra analisi OSINT indipendente ha individuato il dominio deepseek-r1.com come nodo centrale della campagna.
Partendo dalle tecniche descritte da Kaspersky — in particolare l’uso fraudolento del nome DeepSeek — è stato possibile, tramite monitoraggio SEO e analisi delle SERP, isolare il dominio compromesso.

Le SERP (Search Engine Results Pages) sono le pagine di risultati che i motori di ricerca mostrano all’utente quando effettua una ricerca per una certa parola chiave: al loro interno link e pagine web sono selezionati e ordinati tenendo conto della capacità dei contenuti di soddisfare l’intenzione di ricerca insieme ad altri fattori.

Il sito risultava posizionato nei primi risultati sponsorizzati o organici di Google, accanto a fonti legittime come Hugging Face o deepseek.com, sfruttando tecniche avanzate di SEO poisoning.

Cosa abbiamo scoperto

Il dominio deepseek-r1.com

• Il dominio deepseek-r1.com:
• Registrato a gennaio 2025 tramite Namecheap, con protezione privacy attiva;
• Hostato su IP 147.79.79.153 e 147.79.72.122, appartenente a un range Hostinger già associato ad attività sospette;
• Segnalato da 12 motori antivirus su VirusTotal come malware, infostealer o phishing (tra cui BitDefender, Fortinet, G-Data, Kaspersky).

Cos’è il SEO poisoning?

Il SEO poisoning è una tecnica in cui gli attaccanti manipolano i motori di ricerca per far apparire link fraudolenti accanto a contenuti legittimi.

Nel caso di deepseek-r1.com, il sito sfrutta:

• Iniezione massiva di keyword come “DeepSeek no login” o “Download GPT open source”;
• Sitemap ben strutturate e frequentemente aggiornate;
• Hosting su CMS ottimizzati (WordPress + CDN Hostinger);
• Probabile cloaking: contenuti differenti per i bot dei motori di ricerca rispetto agli utenti reali.

Il cloaking è una tecnica mediante la quale, grazie a particolari script, è possibile fare in modo che un sito web mostri ai motori di ricerca un contenuto differente da quello che realmente il sito stesso propone agli utenti fisici/ai visitatori, consentendo così di ottenere un migliore posizionamento all’interno delle pagine SERP.

Domini collegati: riflessioni e precauzioni

L’analisi ha evidenziato collegamenti tecnici e di referral tra deepseek-r1.com e altri domini:

• 8pixlabs.com: presente nei referral. Alcuni motori AV lo classificano come “malicious”, ma non vi sono elementi per attribuirgli un ruolo diretto nella catena d’infezione.
• ai-pro.org: linkato dalla falsa UI, presenta DNS Cloudflare e IP 172.67.38.167.
  È stato registrato nel 2022 via Moniker. La sua infrastruttura è menzionata in alcuni dump OSINT legati a traffico automatizzato o anomalo, ma non risulta flaggato al momento su VirusTotal.

Potrà avere vittime in Italia?

Ad oggi non risultano infezioni accertate in Italia, ma:

• Il sito è accessibile da IP italiani;
• È indicizzato su Google.it tra i risultati legittimi;
• Il file si scarica senza allarmi AV o blocchi DNS.

Indicatori di Compromissione (IoC)

• Dominio: deepseek-r1.com
• IP: 147.79.79.153 – 147.79.72.122
• CDN: Hostinger CDN
• CMS: WordPress 6.7.2
• Certificato TLS: ZeroSSL RSA, valido fino ad agosto 2025
• SHA256 (installer infetto): non pubblico, ma rilevato da almeno 12 AV

Conclusione

La campagna BrowserVenom sfrutta il boom dell’AI offline per colpire in modo silenzioso ma efficace.
Il dominio deepseek-r1.com, al centro della catena d’infezione, è stato scoperto dalla nostra redazione OSINT prima delle segnalazioni ufficiali.

L’indagine dimostra come campagne SEO ben orchestrate possano alterare i risultati di ricerca, convincendo l’utente ad affidarsi a strumenti, in questo caso di AI, manipolati per rubare credenziali o altre informazioni personali o sensibili.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Simone D'agostino
Nato a Roma, con oltre 35 anni di servizio nella Polizia di Stato, è attualmente Sostituto Commissario e responsabile della SOSC della Polizia Postale di Udine. Esperto in indagini sul web e sul dark web, è appassionato di OSINT, ambito nel quale opera anche come formatore nazionale per la Polizia di Stato. Ha conseguito un Master in Intelligence & ICT presso l’Università di Udine (110 e lode), sviluppando quattro modelli di Intelligenza Artificiale per il contrasto alle frodi sui fondi dell’Unione Europea. È attivamente impegnato nella formazione e nella divulgazione per l’innalzamento del livello di sicurezza cibernetica.

Lista degli articoli