El sitio web oficial de JDownloader, un administrador de descargas ampliamente utilizado en todo el mundo, fue comprometido por piratas informáticos entre el 6 y el 7 de mayo de 2026. Durante Durante este período, los atacantes reemplazaron enlaces de descarga legítimos con instaladores maliciosos, lo que afectó a los usuarios de Windows y Linux que descargaron el software directamente de la fuente oficial.
Los delincuentes no irrumpieron en el servidor principal de JDownloader. Exploram es una falla de seguridad sin parchear en el sistema de administración de contenido del sitio web, que permite cambiar los permisos de acceso sin autenticación. Con esto, pudieron editar los enlaces de descarga y apuntarlos a archivos maliciosos alojados en servidores externos. El desarrollador AppWork GmbH confirmó que el atacante sólo accedió al panel de administración, no al servidor en sí, y que los datos personales de los usuarios permanecieron intactos.
Los instaladores de Quais se han visto comprometidos
Las versiones específicas de Apenas han cambiado. No Windows, sólo “Descargar Alternative Installer” ha sido reemplazado por código malicioso. No Linux, el instalador del script de shell, también se vio comprometido durante el período crítico.
- Instaladores en macOS
- Pacotes Flatpak, Winget o Snap
- Arquivo JDownloader.jar principal
- Atualizações dentro del programa (use infraestructura separada con verificación de firma digital)
Los usuarios que descargaron a través de estos canales no corrían riesgo de infección, ya que tenían mecanismos adicionales de verificación de integridad.
The official JDownloader site (.org) was compromised.
— Pirat_Nation 🔴 (@Pirat_Nation) May 7, 2026
Attackers modified the alternative download page and replaced the Windows .exe installers as well as the Linux shell installer.
The tampered Windows files lack valid digital signatures, display fake publisher names such as… pic.twitter.com/OLayoGhr51
El comportamiento del malware en Windows
No Windows, el instalador falso, funcionaba como cargador y servía de puerta de enlace para un troyano de acceso remoto escrito en Python. Esse RAT le da al atacante control remoto sobre la computadora comprometida, permitiéndole ejecutar comandos de forma remota. El malware se conectaba a servidores de comando y control para recibir instrucciones del delincuente. Seguridad Pesquisador Thomas Klemenc identificó dos servidores utilizados para esta comunicación y publicó indicadores de compromiso para ayudar a los equipos de seguridad a detectar máquinas infectadas. La carga útil final tenía la capacidad de ejecutar código arbitrario en el sistema, lo que hacía que una simple desinstalación fuera insuficiente para eliminar la infección por completo.
Funcionamento en Linux
El script de shell comprometido descargó un archivo disfrazado de imagen SVG desde un servidor externo. Dentro de este archivo había dos binarios ocultos. Uno de ellos se instaló con permisos de root, el nivel más alto de acceso en los sistemas Linux. El malware creó mecanismos de persistencia y se hizo pasar por un proceso legítimo del sistema operativo para dificultar la detección. La carga útil estaba muy ofuscada con Pyarmor, una herramienta que complica el análisis técnico de código malicioso.
Como un usuario de Reddit identificó el ataque
El problema fue descubierto por un usuario de Reddit llamado PrinceOfNightSky mientras configuraba una computadora nueva. Ele descargó la última versión directamente desde el sitio web oficial. Microsoft Defender marcó el instalador como malicioso. El archivo mostraba los nombres “Zipline LLC” y “The Water Team” como desarrolladores, empresas sin relación con AppWork. El usuario informó de la situación y los desarrolladores confirmaron el compromiso unas horas más tarde. El sitio fue desactivado a las 2:24 pm del 7 de mayo para investigar y contener el incidente.
Recuperación y retorno del sitio Processo
Los desarrolladores trabajaron hasta las primeras horas del 8 de mayo solucionando la vulnerabilidad, restaurando enlaces legítimos a partir de copias de seguridad y fortaleciendo la configuración de seguridad del servidor. El sitio permaneció completamente fuera de línea hasta que se completaron todas las comprobaciones de integridad. Entre Los días 8 y 9 de mayo, JDownloader comenzó a funcionar normalmente nuevamente, con los enlaces verificados y la falla de seguridad solucionada. Los desarrolladores publicaron una notificación en la página de inicio y en el foro oficial explicando el incidente y brindando orientación a los usuarios potencialmente afectados. Las correcciones incluyeron la implementación de una autenticación más sólida para el panel de administración y una verificación adicional antes de cualquier cambio en los enlaces de descarga.
Como comprueba si descargaste un archivo comprometido
Quem descargó un instalador entre el 6 y 7 de mayo y puede verificar la legitimidad del archivo. No Windows, simplemente haga clic derecho sobre el archivo, abra Propriedades y acceda a la pestaña Assinaturas Digitais. Los Arquivos legítimos muestran el nombre “AppWork GmbH” en la sección de suscriptores. La firma Ausência o la presencia de otro nombre indica un archivo malicioso que no debe ejecutarse. No Linux, verificar la fuente original del archivo y comparar el hash criptográfico con los valores publicados por el desarrollador proporciona protección adicional contra la distribución de versiones comprometidas.
Qué hacer si instaló el archivo
Los desarrolladores recomiendan reinstalar completamente el sistema operativo. El malware Como puede haber ejecutado código arbitrario en la máquina; una simple desinstalación no garantiza la eliminación completa de la infección. Se recomienda encarecidamente que Também cambie todas las contraseñas utilizadas en el dispositivo afectado, ya que es posible que el malware haya capturado las credenciales durante el período de compromiso. Usuários debería considerar cambiar las contraseñas de cuentas bancarias, correo electrónico y servicios importantes desde otro dispositivo seguro. También es recomendable Monitoramento de cuentas bancarias y actividades crediticias sospechosas en los meses siguientes.
Contexto de ataques similares
Incidentes de este tipo se han vuelto cada vez más frecuentes. En abril de 2026, el sitio web de CPUID sufrió un compromiso similar, con enlaces a CPU-Z y HWMonitor reemplazados por ejecutables maliciosos. Semanas anteriormente, el sitio web Tools DAEMON fue el objetivo de un ataque comparable. Los ataques a la cadena de suministro Esses explotan la confianza de los usuarios en fuentes oficiales para la distribución masiva de malware, lo que plantea un riesgo cada vez mayor en el ecosistema de seguridad digital.
