JDownloader é hackeado e espalha malware em instaladores oficiais para Windows e Linux

O site oficial do JDownloader, um gerenciador de downloads amplamente utilizado, foi atacado entre os dias 6 e 7 de maio de 2026. Criminosos exploraram uma vulnerabilidade não corrigida no sistema de gerenciamento de conteúdo do portal para substituir os links de download legítimos por versões maliciosas. O ataque afetou especificamente o “Download Alternative Installer” para Windows e o instalador via terminal (shell) para Linux.

O instalador do Windows introduzia um carregador que ativava um trojan de acesso remoto (RAT) baseado em Python. Segundo pesquisas, o malware utiliza ofuscação pesada e funciona como uma estrutura modular de bot, permitindo a execução de códigos enviados por servidores de comando e controle. Para os usuários que baixaram os arquivos durante esse período, o primeiro sinal de alerta estava na assinatura digital: enquanto os instaladores legítimos são assinados pela “AppWork GmbH”, as versões infectadas apresentavam nomes como “Zipline LLC” ou “The Water Team”.

No Linux, o instalador shell injetava um código que baixava um arquivo disfarçado de imagem vetorial (SVG) de um domínio específico. Após a extração, o script instalava binários ocultos e criava um executável com permissões de administrador, garantindo persistência no sistema através de scripts de inicialização. Vale destacar que versões para macOS, Flatpak, Winget e Snap não foram afetadas pela invasão. Se o software infectado foi executado, o invasor poderia obter controle total sobre o sistema operacional, monitorar atividades e roubar credenciais.

A recomendação dos desenvolvedores e especialistas em segurança para os usuários afetados é a reinstalação completa do sistema operacional. Como o malware permite a execução de código arbitrário, a simples remoção do arquivo não garante a eliminação de todos os módulos que podem ter sido disseminados na rede local. Esse incidente com o JDownloader se junta a ataques recentes contra outros sites conhecidos, indicando uma tendência em 2026 onde grupos de hackers estão cada vez mais focados em sequestrar portais de ferramentas populares, visando uma base de usuários já estabelecida.