- Hackers comprometeram o site oficial do JDownloader entre 6 e 7 de maio de 2026, trocando links de download por instaladores maliciosos para Windows e Linux.
- Não houve acesso ao servidor, apenas ao painel de gerenciamento de conteúdo; dados pessoais de usuários não foram acessados.
- No Windows, o instalador falso atuava como loader para um Trojan de Acesso Remoto; no Linux, o script shell comprometido instalava binários com privilégios de root e criava persistência.
- Usuários perceberam o problema quando o Windows Defender sinalizou o instalador como malicioso; o site ficou fora do ar às 14h24 (horário de Brasília) do dia 7 de maio e voltou a operar na noite de 9 de maio.
- Recomendação: quem executou o instalador comprometido deve reinstalar o sistema operacional e trocar todas as senhas; o monitoramento de assinaturas digitais ajuda a identificar arquivos legítimos (AppWork GmbH).
O site oficial do JDownloader foi alvo de hackers entre 6 e 7 de maio de 2026. Links de download legítimos foram trocados por instaladores maliciosos que afetaram usuários de Windows e Linux. A invasão ocorreu sem acesso direto ao servidor, apenas ao painel de gerenciamento de conteúdo CMS.
Os atacantes exploraram uma falha não corrigida no CMS, permitindo editar permissões de acesso sem senha. Assim, eles apontaram os links para arquivos hospedados em outros servidores, sem comprometer o servidor em si. Dados de usuários não foram acessados.
A vulnerabilidade permitiu que qualquer pessoa alterasse os links de download. Desenvolvedores do JDownloader confirmaram que o painel foi comprometido, mas o servidor permaneceu intacto. A investigação aponta que não houve exfiltração de informações pessoais.
Impacto por plataforma
No Windows, apenas o link “Download Alternative Installer” foi substituído. O Linux teve o script shell comprometido. Pacotes para macOS, Flatpak, Winget, Snap e o arquivo JDownloader.jar permaneceram seguros. Atualizações internas do programa estavam protegidas por assinatura digital.
Trechos do script shell comprometido revelam código que baixa binários maliciosos disfarçados de SVG e os instala com privilégios de root. O modo de persistência dificulta a detecção.
O que os maliciosos faziam
No Windows, o instalador falso funcionava como loader e dava acesso remoto por meio de um RAT em Python. Servidores de comando e controle recebiam instruções à distância. Especialistas identificaram dois servidores usados para comunicação.
No Linux, o script comprometido baixava um SVG que continha dois binários encobertos. Um deles obtinha permissões de root e criava persistência, mascarando-se como processo do sistema. O payload estava ofuscado para dificultar a análise.
Descoberta e resposta
Um usuário do Reddit, PrinceOfNightSky, percebeu a sinalização de malware pelo Windows Defender ao baixar a versão recente do site oficial. A equipe do JDownloader confirmou o ataque poucas horas depois. O site ficou fora do ar às 14h24 (horário de Brasília) de 7 de maio para contenção.
A correção ocorreu durante a madrugada de 8 para 9 de maio. Backups foram usados para restaurar links legítimos e reforçar configurações. O site voltou a operar após as verificações de segurança. Credenciais podem ter sido comprometidas; recomenda-se troca de senhas.
Orientações aos usuários
Quem baixou instaladores entre 6 e 7 de maio deve verificar a assinatura digital do arquivo. Assinaturas válidas exibem AppWork GmbH; qualquer outra indicação é compatível com malware. Evite executar arquivos não confirmados.
Quem já executou o arquivo comprometido deve reinstalar o sistema operacional e trocar senhas. O objetivo é mitigar riscos, já que o malware pode ter executado código arbitrário na máquina.
Entre na conversa da comunidade