O site oficial do JDownloader foi alvo de hackers entre 6 e 7 de maio de 2026. Links de download leg\u00edtimos foram trocados por instaladores maliciosos que afetaram usu\u00e1rios de Windows e Linux. A invas\u00e3o ocorreu sem acesso direto ao servidor, apenas ao painel de gerenciamento de conte\u00fado CMS.<\/p>\n
Os atacantes exploraram uma falha n\u00e3o corrigida no CMS, permitindo editar permiss\u00f5es de acesso sem senha. Assim, eles apontaram os links para arquivos hospedados em outros servidores, sem comprometer o servidor em si. Dados de usu\u00e1rios n\u00e3o foram acessados.<\/p>\n
A vulnerabilidade permitiu que qualquer pessoa alterasse os links de download. Desenvolvedores do JDownloader confirmaram que o painel foi comprometido, mas o servidor permaneceu intacto. A investiga\u00e7\u00e3o aponta que n\u00e3o houve exfiltra\u00e7\u00e3o de informa\u00e7\u00f5es pessoais.<\/p>\n
No Windows, apenas o link \u201cDownload Alternative Installer\u201d foi substitu\u00eddo. O Linux teve o script shell comprometido. Pacotes para macOS, Flatpak, Winget, Snap e o arquivo JDownloader.jar permaneceram seguros. Atualiza\u00e7\u00f5es internas do programa estavam protegidas por assinatura digital.<\/p>\n
Trechos do script shell comprometido revelam c\u00f3digo que baixa bin\u00e1rios maliciosos disfar\u00e7ados de SVG e os instala com privil\u00e9gios de root. O modo de persist\u00eancia dificulta a detec\u00e7\u00e3o.<\/p>\n
No Windows, o instalador falso funcionava como loader e dava acesso remoto por meio de um RAT em Python. Servidores de comando e controle recebiam instru\u00e7\u00f5es \u00e0 dist\u00e2ncia. Especialistas identificaram dois servidores usados para comunica\u00e7\u00e3o.<\/p>\n
No Linux, o script comprometido baixava um SVG que continha dois bin\u00e1rios encobertos. Um deles obtinha permiss\u00f5es de root e criava persist\u00eancia, mascarando-se como processo do sistema. O payload estava ofuscado para dificultar a an\u00e1lise.<\/p>\n
Um usu\u00e1rio do Reddit, PrinceOfNightSky, percebeu a sinaliza\u00e7\u00e3o de malware pelo Windows Defender ao baixar a vers\u00e3o recente do site oficial. A equipe do JDownloader confirmou o ataque poucas horas depois. O site ficou fora do ar \u00e0s 14h24 (hor\u00e1rio de Bras\u00edlia) de 7 de maio para conten\u00e7\u00e3o.<\/p>\n
A corre\u00e7\u00e3o ocorreu durante a madrugada de 8 para 9 de maio. Backups foram usados para restaurar links leg\u00edtimos e refor\u00e7ar configura\u00e7\u00f5es. O site voltou a operar ap\u00f3s as verifica\u00e7\u00f5es de seguran\u00e7a. Credenciais podem ter sido comprometidas; recomenda-se troca de senhas.<\/p>\n
Quem baixou instaladores entre 6 e 7 de maio deve verificar a assinatura digital do arquivo. Assinaturas v\u00e1lidas exibem AppWork GmbH; qualquer outra indica\u00e7\u00e3o \u00e9 compat\u00edvel com malware. Evite executar arquivos n\u00e3o confirmados.<\/p>\n
Quem j\u00e1 executou o arquivo comprometido deve reinstalar o sistema operacional e trocar senhas. O objetivo \u00e9 mitigar riscos, j\u00e1 que o malware pode ter executado c\u00f3digo arbitr\u00e1rio na m\u00e1quina.<\/p>\n","protected":false},"excerpt":{"rendered":"