ハッキングされた JDownloader Web サイトが Windows および Linux インストーラーにマルウェアを配布する 著者 Beatriz
読了時間 約8分
 |
世界中で広く使用されているダウンロード マネージャーである JDownloader の公式 Web サイトが、2026 年 5 月 6 日から 7 日にかけてハッカーによって侵害されました。この期間中、攻撃者は正規のダウンロード リンクを悪意のあるインストーラーに置き換え、公式ソースからソフトウェアを直接ダウンロードした Windows および Linux ユーザーに影響を与えました。
犯罪者は JDownloader のメインサーバーに侵入しませんでした。これらは、サイトのコンテンツ管理システムにあるパッチが適用されていないセキュリティ上の欠陥を悪用し、認証なしでアクセス許可を変更できるようにします。これにより、ダウンロード リンクを編集し、外部サーバー上でホストされている悪意のあるファイルを指定することができました。開発元の AppWork GmbH は、攻撃者がサーバー自体ではなく管理パネルにのみアクセスし、ユーザーの個人データがそのまま残っていることを確認しました。
どのインストーラーが侵害されたのか
特定のバージョンのみが変更されています。 Windows では、「代替インストーラーのダウンロード」のみが悪意のあるコードに置き換えられました。 Linux では、シェル スクリプト インストーラーも重要な時期に侵害されました。
- macOS インストーラー
- Flatpak、Winget、または Snap パッケージ
- JDownloader.jar メイン ファイル
- プログラム内更新 (デジタル署名検証を備えた別のインフラストラクチャを使用)
これらのチャネルには追加の整合性チェック メカニズムがあるため、これらのチャネルを通じてダウンロードしたユーザーは感染の危険にさらされることはありませんでした。
The official JDownloader site (.org) was compromised.
— Pirat_Nation 🔴 (@Pirat_Nation) May 7, 2026
Attackers modified the alternative download page and replaced the Windows .exe installers as well as the Linux shell installer.
The tampered Windows files lack valid digital signatures, display fake publisher names such as… pic.twitter.com/OLayoGhr51
Windows でのマルウェアの動作
Windows では、偽のインストーラーはローダーとして機能し、Python で書かれたリモート アクセス トロイの木馬へのゲートウェイとして機能しました。この RAT により、攻撃者は侵害されたコンピュータをリモートで制御できるようになり、コマンドをリモートで実行できるようになります。マルウェアは指揮制御サーバーに接続して犯罪者からの指示を受け取りました。セキュリティ研究者の Thomas Klemenc 氏は、この通信に使用された 2 台のサーバーを特定し、セキュリティ チームが感染したマシンを検出できるように侵害の兆候を公開しました。最後のペイロードにはシステム上で任意のコードを実行する機能があり、単純なアンインストールでは感染を完全に除去するには不十分でした。
Linuxでの動作
侵害されたシェル スクリプトは、SVG 画像を装ったファイルを外部サーバーからダウンロードしました。このファイル内には 2 つのバイナリが隠されていました。そのうちの 1 つは、Linux システムの最高レベルのアクセス権である root 権限でインストールされました。このマルウェアは永続化メカニズムを作成し、自身を正規のオペレーティング システム プロセスとしてマスクして検出を困難にしました。ペイロードは、悪意のあるコードの技術分析を複雑にするツールである Pyarmor によって高度に難読化されました。
Reddit ユーザーが攻撃を特定した方法
この問題は、PrinceOfNightSky という Reddit ユーザーが新しいコンピュータのセットアップ中に発見しました。彼は最新バージョンを公式 Web サイトから直接ダウンロードしました。 Microsoft Defender は、インストーラーに悪意があるとしてフラグを立てました。ファイルには開発者として「Zipline LLC」と「The Water Team」の名前が記載されており、AppWorkとは無関係の企業だった。ユーザーが状況を報告し、開発者は数時間後に侵害を確認しました。事件の調査と封じ込めのため、サイトは5月7日午後2時24分に非アクティブ化された。
ウェブサイトの復旧と返却のプロセス
開発者は 5 月 8 日の早朝にかけて脆弱性の修正、バックアップからの正規のリンクの復元、サーバーのセキュリティ設定の強化に取り組みました。すべての整合性チェックが完了するまで、サイトは完全にオフラインのままでした。 5 月 8 日から 9 日にかけて、JDownloader は再び正常に動作し始め、リンクがチェックされ、セキュリティ上の欠陥が修正されました。開発者はホームページと公式フォーラムに通知を公開し、インシデントを説明し、影響を受ける可能性のあるユーザーにガイダンスを提供しました。修正には、管理パネルに対するより堅牢な認証の実装と、ダウンロード リンクの変更前の追加の検証が含まれます。
侵害されたファイルをダウンロードしたかどうかを確認する方法
5 月 6 日から 7 日の間にインストーラーをダウンロードした人は誰でも、ファイルの正当性を確認できます。 Windows では、ファイルを右クリックして [プロパティ] を開き、[デジタル署名] タブにアクセスします。正規のファイルでは、サブスクライバ セクションに「AppWork GmbH」という名前が表示されます。署名がないか、別の名前が存在する場合は、実行すべきではない悪意のあるファイルであることを示します。 Linux では、ファイルの元のソースを検証し、暗号化ハッシュを開発者が公開した値と比較することで、侵害されたバージョンの配布に対する追加の保護が提供されます。
ファイルをインストールした場合の対処方法
開発者は、オペレーティング システムを完全に再インストールすることをお勧めします。マルウェアはマシン上で任意のコードを実行している可能性があるため、単純なアンインストールでは感染を完全に除去できるとは限りません。また、侵害期間中に認証情報がマルウェアによってキャプチャされた可能性があるため、影響を受けるデバイスで使用されているすべてのパスワードを変更することを強くお勧めします。ユーザーは、銀行口座、電子メール、重要なサービスのパスワードを別の安全なデバイスから変更することを検討する必要があります。今後数か月間、銀行口座と不審な信用取引を監視することもお勧めします。
同様の攻撃の背景
この種の事件は次第に頻繁になってきている。 2026 年 4 月、CPUID Web サイトも同様の被害に遭い、CPU-Z と HWMonitor へのリンクが悪意のある実行可能ファイルに置き換えられました。数週間前、DAEMON Tools Web サイトが同様の攻撃の標的になりました。これらのサプライ チェーン攻撃は、公式ソースに対するユーザーの信頼を悪用してマルウェアを大量配布し、デジタル セキュリティ エコシステムに対するリスクを増大させます。
