Сайт JDownloader был взломан с целью замены установщиков вредоносным ПО Python RAT.

[zender]

На этой неделе был взломан веб-сайт популярного менеджера загрузок JDownloader, целью которого было распространение вредоносных установщиков для Windows и Linux. При этом в версии для Windows был обнаружен троян удаленного доступа на основе Python.


Атака на цепочку поставок затронула тех, кто загрузил установочные файлы с официального сайта в период с 6 по 7 мая 2026 года через ссылки «Загрузить альтернативный установщик» в Windows или через установщик в командной оболочке Linux.


По словам разработчиков, злоумышленники изменили ссылки для скачивания на сайте таким образом, чтобы они указывали на вредоносные программы третьих лиц, а не на легитимные установщики.


JDownloader — это широко используемое бесплатное приложение для управления загрузками, которое поддерживает автоматическую загрузку с файлообменников, видеосайтов и генераторов платных ссылок. Программа существует уже более десяти лет и используется миллионами пользователей по всему миру на операционных системах Windows, Linux и macOS.

Атака на цепочку поставок JDownloader​

О взломе впервые сообщил на Reddit пользователь под ником "PrinceOfNightSky", заметивший, что загруженные установщики помечаются как вредоносные программы Microsoft Defender.

«Я пользовался Jdownloader, а несколько недель назад перешёл на новый компьютер. К счастью, у меня был установщик на USB-накопителе, но я решил скачать последнюю версию», — написал PrinceOfNightSky на Reddit.


«Веб-сайт официальный, но все исполняемые файлы для Windows сообщаются Windows как вредоносное ПО, а разработчиком указана компания 'Zipline LLC'. Иногда указывается 'The Water Team'. Очевидно, что программа принадлежит Appwork, и мне приходится вручную разблокировать её в Windows, чтобы запустить, чего я делать не буду».

Разработчики JDownloader позже подтвердили , что сайт был взломан, и отключили его для расследования инцидента.


В отчете об инциденте разработчики заявили, что их веб-сайт был взломан злоумышленниками, использовавшими неустраненную уязвимость, которая позволяла им изменять списки контроля доступа и контент веб-сайта без аутентификации.


«Изменения были внесены через систему управления контентом веб-сайта и затронули опубликованные страницы и ссылки», — говорится в отчете об инциденте.


«Злоумышленник не получил доступа к базовому стеку серверной части — в частности, к файловой системе хоста или к более широкому контролю на уровне операционной системы, выходящему за рамки веб-контента, управляемого CMS».


Разработчики заявили, что компромисс затронул только альтернативные ссылки для загрузки установщика Windows и ссылку на установщик для Linux. Внутриигровые обновления, загрузки для macOS, Flatpak, Winget, пакеты Snap и основной JAR-пакет JDownloader не были изменены.


Разработчики также заявили, что пользователи могут проверить подлинность установщика, щелкнув правой кнопкой мыши по файлу, выбрав «Свойства» , а затем перейдя на вкладку «Цифровые подписи» .

Если в программе Digital Signatures указано, что файл подписан компанией "AppWork GmbH", то он является подлинным. Однако, если файл не подписан или подписан другим именем, его следует избегать.

Подписанный легитимный установщик JDownloader
Источник: BleepingComputer

Команда JDownloader заявила, что анализ вредоносных программ «выходит за рамки нашей компетенции», но предоставила архив вредоносных установщиков, чтобы другие могли их проанализировать.


Исследователь в области кибербезопасности Томас Клеменц проанализировал вредоносные исполняемые файлы Windows и общие индикаторы компрометации (IOC) вредоносного ПО.


По словам Клеменца, вредоносная программа действует как загрузчик, развертывающий сильно обфусцированный RAT на основе Python.


Клеменц заявил, что полезная нагрузка на Python действует как модульный бот и платформа для удаленного доступа (RAT), позволяя злоумышленникам выполнять код на Python, передаваемый с серверов управления и контроля (C2).


Исследователь также предоставил информацию о двух серверах управления и контроля, используемых вредоносным ПО:


https://parkspringshotel[.]com/m/Lu6aeloo.php<br>https://auraguest[.]lk/m/douV2quu.php

Анализ модифицированного установщика оболочки Linux, проведенный BleepingComputer, выявил в скрипте вредоносный код, который загружает архив с сайта 'checkinnhotels[.]com', замаскированный под SVG-файл.

В модифицированном установщике JDownloader для Linux содержится вредоносный код.
Источник: BleepingComputer

После загрузки скрипт извлекает два ELF-файла с именами `pkg` и `systemd-exec`, а затем устанавливает `systemd-exec` как SUID-root-файл в `/usr/bin/`.

Затем установщик скопировал основную полезную нагрузку в '/root/.local/share/.pkg', создал скрипт для обеспечения постоянного присутствия в '/etc/profile.d/systemd.sh' и запустил вредоносное ПО, маскируясь под '/usr/libexec/upowerd'.


Полезная нагрузка 'pkg' также сильно обфусцирована с помощью Pyarmor, поэтому неясно, какие функции она выполняет.


Компания JDownloader заявляет, что пользователи подвергаются риску только в том случае, если они скачали и запустили затронутые установщики в то время, когда сайт был взломан.


Поскольку вредоносное ПО могло выполнить произвольный код на зараженных устройствах, тем, кто установил вредоносные программы, рекомендуется переустановить операционные системы.


Также возможно, что учетные данные на устройствах были скомпрометированы, поэтому настоятельно рекомендуется сбросить пароли после очистки устройств.


В этом году хакеры все чаще атакуют веб-сайты популярных программных средств, чтобы распространять вредоносное ПО среди ничего не подозревающих пользователей.


В апреле хакеры взломали веб-сайт CPUID , изменив ссылки для скачивания, которые содержали вредоносные исполняемые файлы популярных программ CPU-Z и HWMonitor.


В начале этого месяца злоумышленники взломали веб-сайт DAEMONTOOLS , чтобы распространить троянские установщики, содержащие бэкдор.