Gli aggressori hanno sfruttato una vulnerabilità non corretta nel sistema di gestione contenuti del sito ufficiale di JDownloader per modificare i link di download tra il 6 e il 7 maggio 2026. In questo modo, gli installer alternativi per Windows e lo script shell per Linux puntavano a payload malevoli invece che a file legittimi. L’attacco non ha raggiunto il server sottostante, limitandosi a pagine e link gestiti dal CMS.
Il problema è emerso da segnalazioni su Reddit, dove utenti hanno notato che gli eseguibili venivano flaggati come troian da antivirus come Microsoft Defender, con firme digitali sospette non riconducibili ad AppWork GmbH. Gli sviluppatori hanno confermato l’incidente, preso offline il sito per indagini e pubblicato un report che escludeva dal rischio aggiornamenti in-app, pacchetti Flatpak, Snap, Winget e il JAR principale.
Per Linux, lo script installer modificato scaricava un archivio da un dominio falso camuffato da file SVG, estraeva due binari ELF chiamati pkg e systemd-exec, e installava quest’ultimo come binario SUID-root in /usr/bin/. Il payload principale finiva in /root/.local/share/.pkg, con persistenza via /etc/profile.d/systemd.sh e avvio mascherato da upowerd.
Analisi del malware e rischi per Linux
Il codice malevolo negli installer Linux era offuscato con Pyarmor, rendendo difficile una decodifica rapida della sua logica completa. Una volta eseguito, il malware poteva ottenere privilegi elevati grazie al SUID e mantenere persistenza nel sistema, potenzialmente permettendo esecuzione remota di comandi o furto di credenziali.
Per Windows, l’analisi ha rivelato un loader che distribuiva un RAT basato su Python, modulare e obfuscato, con server C2 come parkspringshotel.com e auraguest.lk per eseguire codice remoto. Su Linux, il parallelismo è chiaro: binari ELF con accesso root e persistenza profonda, un rischio alto per chi gestisce download automatici da hosting file o link premium.
- Installer a rischio: solo link alternativi Windows e shell Linux del 6-7 maggio.
- Verifica legittimità: controlla firma digitale AppWork GmbH nelle proprietà del file.
- Consigli post-infezione: reinstalla il sistema operativo e resetta password.
Gli utenti Linux che hanno scaricato ed eseguito lo script in quel periodo devono verificare processi sospetti, file in /root/.local/share/.pkg o /usr/bin/systemd-exec, e monitorare log di sistema per attività anomale. Questo tipo di supply chain attack ricorda quanto sia critico scaricare solo da fonti verificate, preferendo repository come Flatpak o Snap per tool come JDownloader.
Il caso evidenzia la necessità di firmare digitalmente tutti i pacchetti Linux e di usare sandboxing per limitare danni da eseguibili non fidati. In contesti enterprise, tool di integrità file e monitoraggio runtime aiutano a intercettare modifiche come queste prima che diventino operative.
