Un navigateur, une boîte de dialogue de permission, puis vos fichiers chiffrés : voilà le tour de passe-passe décrit par les chercheurs de Check Point. La technique vise Chrome sur Android, sans charge utile native ni installation d’APK. Dans une publication parue ce 1 juillet 2026, l’équipe raconte comment un échantillon généré par IA a servi de point de départ à un ransomware « browser-only » bâti sur l’API File System Access de Chromium.
La mécanique tient du phishing le plus banal. Une page web convainc l’utilisateur d’autoriser l’accès à un dossier via la boîte de dialogue légitime du navigateur. Permission accordée, le site liste les fichiers, les lit, les chiffre puis les écrase, avant d’afficher sa demande de rançon. Aucun payload natif, aucun exploit du navigateur, aucun accès root requis.
Points clés
- La technique chiffre des fichiers locaux via l’API File System Access de Chromium, sans payload natif, exploit ni accès root
- Le point de départ est un échantillon incomplet généré par le modèle DeepSeek, transformé en chaîne d’attaque réalisable
- L’API est exposée sur Chrome desktop (86) et Android/WebView (132) ; Firefox et Safari ne sont pas concernés
- Aucun abus observé dans la nature à ce jour : il s’agit d’une preuve de concept de Check Point Research
Une hallucination d’IA recyclée en attaque crédible
Le modèle DeepSeek a produit un échantillon de malware incomplet, mais assez cohérent pour relier une idée de ransomware dans le navigateur à une chaîne d’attaque réalisable. Les chercheurs parlent d’« in-browser ransomware » et précisent n’avoir observé aucun abus de ce type dans la nature à ce stade.
Le pivot, c’est la File System Access API de Chromium, conçue pour des applications web honnêtes : éditeurs de texte, IDE, outils créatifs. Après consentement de l’utilisateur, elle autorise un site à lire et écrire des fichiers locaux sous contrôle du navigateur. Dans le cas étudié, l’arnaque prend la forme d’un faux service d’amélioration d’images, prétexte tout trouvé pour ouvrir un dossier de photos.
« La technique ne nécessite ni payload natif, ni installation d’APK, ni exploit du navigateur, ni accès root. Elle repose sur l’ingénierie sociale et une invite de permission légitime exposée par la File System Access API de Google Chrome. » (Check Point Research)
Chrome sur Android au cœur du risque
La portée pratique reste cantonnée aux navigateurs Chromium qui exposent cette API avec sélecteur de fichiers. Chrome a introduit File System Access sur desktop dès Chrome 86, puis sur Android et WebView avec Chrome 132. Firefox et Safari n’exposent pas les mêmes fonctions de sélection et de modification locale, ce qui limite l’exposition hors de l’écosystème Chromium.
Sur Android, le danger prend du relief : les dossiers photo concentrent souvent des données personnelles sensibles. La promesse d’un traitement d’image, réel ou bidon, peut suffire à décrocher l’autorisation. Une fois la permission accordée, le navigateur devient le vecteur du chiffrement.
Le modèle de sécurité des navigateurs montre ses limites
Le scénario s’inscrit dans une catégorie déjà documentée par des travaux sur l’abus de l’API File System Access pour chiffrer des fichiers depuis une application web malveillante. La nouveauté tient à l’assemblage opéré par l’IA : une idée théorique devient un plan d’attaque compatible avec un usage courant du web mobile.
À ce stade, le fait marquant n’est pas une campagne repérée en production, mais la démonstration qu’un navigateur moderne suffit, à lui seul, à chiffrer des fichiers après une simple autorisation utilisateur. Chrome 132 élargit précisément cette surface d’attaque à des usages locaux que beaucoup associent encore à une application installée, pas à une page web. Prochaine fois que Chrome demande l’accès à vos photos, réfléchissez à deux fois avant de dire oui.
