Ausgangspunkt war ein VirusTotal-Sample namens InfernoGrabber v9.0, getarnt als Tool zur Verbesserung von Discord-Avataren. Gibt der Nutzer Ordnerzugriff frei, kann die Webseite Dateien im Browser lesen, verändern und abziehen, ohne eine ausführbare Datei abzulegen.
Am stärksten betroffen ist Chrome ab Version 132 auf Android; iOS bleibt von diesem Pfad verschont, weil Safari die API nicht umsetzt. Fast die Hälfte der verfolgten DeepSeek-Dateien wurde als bösartig oder riskant eingestuft.
Quellen: CocoLoop und Check Point Research und The Register und The Hacker News