يقوم موقع JDownloader المخترق بتوزيع البرامج الضارة في مثبتات Windows وLinux

تعرض الموقع الرسمي لـ JDownloader، وهو مدير التنزيلات المستخدم على نطاق واسع حول العالم، للاختراق من قبل قراصنة في الفترة ما بين 6 و7 مايو 2026. خلال هذه الفترة، استبدل المهاجمون روابط التنزيل الشرعية بمثبتات ضارة، مما أثر على مستخدمي Windows وLinux الذين قاموا بتنزيل البرنامج مباشرة من المصدر الرسمي.

لم يقتحم المجرمون الخادم الرئيسي لـ JDownloader. إنهم يستغلون ثغرة أمنية غير مُصححة في نظام إدارة محتوى الموقع، مما يسمح بتغيير أذونات الوصول دون مصادقة. وبهذا، تمكنوا من تحرير روابط التنزيل وتوجيهها إلى الملفات الضارة المستضافة على خوادم خارجية. وأكدت شركة Developer AppWork GmbH أن المهاجم وصل فقط إلى لوحة الإدارة، وليس الخادم نفسه، وأن البيانات الشخصية للمستخدمين ظلت سليمة.

ما هي أدوات التثبيت التي تم اختراقها؟

لقد تغيرت إصدارات محددة فقط. في نظام التشغيل Windows، تم استبدال “Download Alternative Installer” فقط بتعليمات برمجية ضارة. في نظام التشغيل Linux، تم اختراق برنامج تثبيت البرنامج النصي لـ Shell أيضًا خلال الفترة الحرجة.

خلفية القضية: يؤدي الهجوم على توزيع Axios على NPM إلى إضعاف الحزم والتأثير على النظام البيئي التنموي الواسع

• مثبتات ماك
• حزم Flatpak أو Winget أو Snap
• JDownloader.jar الملف الرئيسي
• التحديثات داخل البرنامج (استخدم بنية أساسية منفصلة مع التحقق من التوقيع الرقمي)

لم يكن المستخدمون الذين قاموا بالتنزيل عبر هذه القنوات معرضين لخطر الإصابة، حيث أن لديهم آليات إضافية للتحقق من السلامة.

التغطية الكاملة: آخر الأخبار (AR)

The official JDownloader site (.org) was compromised.

Attackers modified the alternative download page and replaced the Windows .exe installers as well as the Linux shell installer.

The tampered Windows files lack valid digital signatures, display fake publisher names such as… pic.twitter.com/OLayoGhr51

— Pirat_Nation 🔴 (@Pirat_Nation) May 7, 2026

سلوك البرامج الضارة على نظام التشغيل Windows

على نظام التشغيل Windows، يعمل المثبت المزيف كمحمل، ويعمل كبوابة للوصول عن بعد إلى حصان طروادة المكتوب بلغة Python. يمنح هذا RAT للمهاجم التحكم عن بعد في الكمبيوتر المخترق، مما يسمح له بتنفيذ الأوامر عن بعد. ترتبط البرامج الضارة بخوادم القيادة والتحكم لتلقي التعليمات من المجرم. حدد الباحث الأمني ​​توماس كليمنس خادمين يستخدمان لهذا الاتصال ونشر مؤشرات الاختراق لمساعدة فرق الأمن في اكتشاف الأجهزة المصابة. تتمتع الحمولة النهائية بالقدرة على تنفيذ تعليمات برمجية عشوائية على النظام، مما يجعل عملية إلغاء التثبيت البسيطة غير كافية لإزالة العدوى تمامًا.

المزيد عن الموضوع: يكشف الهجوم السيبراني على المورد الهندي لشركة Apple تفاصيل iPhone 18 Pro قبل الإطلاق الرسمي

التشغيل على لينكس

قام البرنامج النصي الذي تم اختراقه بتنزيل ملف متخفي كصورة SVG من خادم خارجي. داخل هذا الملف كان هناك ثنائيات مخفية. تم تثبيت أحدهما بأذونات الجذر، وهو أعلى مستوى وصول على أنظمة Linux. أنشأت البرامج الضارة آليات استمرارية وأقنعت نفسها كعملية نظام تشغيل مشروعة لجعل اكتشافها أمرًا صعبًا. وكانت الحمولة مشوشة بشكل كبير باستخدام أداة Pyarmor، وهي أداة تعمل على تعقيد التحليل الفني للتعليمات البرمجية الضارة.

كيف تعرف مستخدم Reddit على الهجوم

تم اكتشاف المشكلة بواسطة مستخدم Reddit يُدعى PrinceOfNightSky أثناء إعداد جهاز كمبيوتر جديد. قام بتنزيل أحدث إصدار مباشرة من الموقع الرسمي. قام Microsoft Defender بوضع علامة على المثبت على أنه ضار. أظهر الملف للمطورين أسماء “Zipline LLC” و”The Water Team”، وهي شركتان لا علاقة لهما بـ AppWork. أبلغ المستخدم عن الموقف، وأكد المطورون التسوية بعد بضع ساعات. تم تعطيل الموقع في الساعة 2:24 ظهرًا يوم 7 مايو للتحقيق في الحادث واحتوائه.

عملية استعادة الموقع وإعادته

عمل المطورون خلال الساعات الأولى من يوم 8 مايو على إصلاح الثغرة الأمنية واستعادة الروابط الشرعية من النسخ الاحتياطية وتعزيز إعدادات أمان الخادم. ظل الموقع غير متصل بالإنترنت تمامًا حتى تم الانتهاء من جميع عمليات التحقق من السلامة. بين 8 و9 مايو، بدأ JDownloader العمل بشكل طبيعي مرة أخرى، مع فحص الروابط وإصلاح الخلل الأمني. نشر المطورون إشعارًا على الصفحة الرئيسية والمنتدى الرسمي يشرح الحادث ويقدم إرشادات للمستخدمين المحتمل تأثرهم. تضمنت الإصلاحات تنفيذ مصادقة أكثر قوة للوحة الإدارة والتحقق الإضافي قبل إجراء أي تغييرات على روابط التنزيل.

كيفية التحقق مما إذا كنت قد قمت بتنزيل ملف مخترق

يمكن لأي شخص قام بتنزيل برنامج التثبيت في الفترة ما بين 6 و7 مايو التحقق من شرعية الملف. على نظام التشغيل Windows، ما عليك سوى النقر بزر الماوس الأيمن على الملف، وفتح الخصائص، والوصول إلى علامة التبويب التوقيعات الرقمية. تعرض الملفات الشرعية اسم “AppWork GmbH” في قسم المشتركين. يشير عدم وجود توقيع أو وجود اسم آخر إلى وجود ملف ضار لا ينبغي تنفيذه. في Linux، يوفر التحقق من المصدر الأصلي للملف ومقارنة تجزئة التشفير مع القيم التي ينشرها المطور حماية إضافية ضد توزيع الإصدارات المخترقة.

اعرف المزيد: يولد الهجوم السيبراني تنبيهات كاذبة من الدفاع المدني لملايين البرازيليين في عدة ولايات

ماذا تفعل إذا قمت بتثبيت الملف

يوصي المطورون بإعادة تثبيت نظام التشغيل بالكامل. نظرًا لأن البرامج الضارة ربما تكون قد نفذت تعليمات برمجية عشوائية على الجهاز، فإن الإزالة البسيطة لا تضمن الإزالة الكاملة للعدوى. يوصى أيضًا بشدة بتغيير جميع كلمات المرور المستخدمة على الجهاز المتأثر، حيث من المحتمل أن تكون البرامج الضارة قد استولت على بيانات الاعتماد أثناء فترة الاختراق. يجب على المستخدمين التفكير في تغيير كلمات المرور للحسابات المصرفية والبريد الإلكتروني والخدمات المهمة من جهاز آمن آخر. يُنصح أيضًا بمراقبة الحساب البنكي والنشاط الائتماني المشبوه في الأشهر التالية.

سياق هجمات مماثلة

أصبحت الحوادث من هذا النوع متكررة بشكل تدريجي. وفي أبريل 2026، تعرض موقع CPUID الإلكتروني لاختراق مماثل، حيث تم استبدال الروابط إلى CPU-Z وHWMonitor بملفات تنفيذية ضارة. وقبل ذلك بأسابيع، كان موقع DAEMON Tools الإلكتروني هدفًا لهجوم مماثل. تستغل هجمات سلسلة التوريد هذه ثقة المستخدم في المصادر الرسمية للتوزيع الشامل للبرامج الضارة، مما يشكل خطرًا متزايدًا على النظام البيئي للأمن الرقمي.