JDownloader公式サイト侵害、24時間マルウェア配布
ダウンロード支援ツール「JDownloader」の公式サイトが侵害され、Windows・Linux向けインストーラが署名なしマルウェアに差し替えられていた。気付いたのはRedditユーザーひとりだった。
ダウンロード支援ツール「JDownloader」の公式サイトが侵害され、Windows・Linux向けインストーラが署名なしマルウェアに差し替えられていた。気付いたのはRedditユーザーひとりだった。
SmartScreenの警告が異変を告げた
JDownloader公式サイトが侵害されている。攻撃者は24時間以上にわたって、WindowsとLinux向けの正規インストーラを署名なしマルウェアに置き換え続けていた。
最初の異変はRedditユーザーの投稿だった。Windows SmartScreenがダウンロードしたばかりの実行ファイルを警告し、発行元として「Zipline LLC」「The Water Team」「Peace Team」といった見慣れない名前を表示した。本来の署名は「AppWork GmbH」だ。
USBメモリに保存していた古いインストーラと比べると、AppWorkの署名とロゴが消えていることが一目でわかった。投稿は瞬く間に拡散し、JDownloader開発チームのアカウント「jdownloader_dev」が数時間以内に侵害を認め、サイトをオフラインにして調査を始めた。
攻撃の修正対象は限定的だが、深刻だ。攻撃者はオルタナティブダウンロードページに手を加え、Windowsインストーラのリンクをすべて自前の悪意ある未署名実行ファイルに差し替えた。
ここまでの説明で、すでに違和感を持った人もいるはずだ。SmartScreenが警告を出したなら、感染は防げたのではないか。
防御は効いた、だが「警告を無視した人」がいた
事実として、Windows SmartScreenとWindows Defenderは差し替えられた未署名ファイルをきちんと弾いた。デジタル署名がないため、システムは自動的に警告を出した。理屈の上では、ここで踏みとどまれた人は感染していない。
問題は、警告を手動で無視した人々だ。
「ダウンロード支援ツール」というジャンルは、もともとSmartScreen警告と相性が悪い。広告同梱型のオプションインストーラに対する誤検知が日常的に発生するため、ユーザーは警告を「いつものやつ」として処理する習慣がついてしまっている。今回の攻撃者は、その慣れを突いた。
実際にRedditでは、感染後の被害報告が複数寄せられている。あるユーザーはこう書いた。
インストール直後、Windows Defenderが起動しなくなった。管理者権限がすべて剥奪され、何もできない状態になった。Malwarebytes、AdwCleaner、PowerRun、最後はシステムの復元まで動員した。Chromeには「あなたのブラウザは組織によって管理されています」という表示が出ている。OSをクリーンインストールして、すべてのパスワードを変更するつもりだ。
別のユーザーは、感染した端末に12時間オンラインだったと報告している。Proton Passに保存していたパスワードが流出した可能性、NAS経由でローカルネットワークに被害が広がった可能性を恐れている。
VirusTotalで解析したRedditユーザーの報告によれば、Bkav Pro、Gridinsoft、McAfee Scanner、Risingがトロイの木馬として検出した。挙動も判明している。
Windowsの管理設定を書き換え、システム所有者を変更し、コードを実行するための並列プロセスを生成する。Webセッションのクッキーを盗み、認証情報を奪うために実行フローを乗っ取り、ファイアウォールやアンチウイルスといった防御システムを無効化する。
OSのクリーンインストールが事実上必須というのが、被害者たちの共通認識になっている。
なぜ侵入を許したか:認証なしでACLを書き換えられる脆弱性
侵入経路は、JDownloaderのウェブサイトに存在した未パッチの脆弱性だった。アクセス制御リスト（ACL）を認証なしで書き換えられる状態を悪用し、攻撃者は自分自身に編集権限を付与した上で、公式ダウンロードリンクを差し替えた。
サーバーログによれば、攻撃者は2026年5月5日23時55分（UTC）に無関係のテストページで脆弱性が機能することを確認している。本番のオルタナティブダウンロードページが書き換えられたのは、わずか数分後 の5月6日0時1分だった。
この時系列は重要だ。攻撃者は本番に手を出す前に、検出されない場所で挙動を確認している。技術的な能力だけでなく、悪戯目的ではないことを示す慎重さがそこにある。
救われたもの、救われなかったもの
被害の輪郭を整理しておく。侵害されたのはサイト経由の代替インストーラだけだ。Windows版とLinux版が対象で、それ以外の配布チャネルは無事だった。
無事だったものを列挙する。
- macOS向けインストーラ（有効なデジタル署名が維持されていた）
- 本体のJDownloader.jarファイル
- winget、Flatpak、Snap経由で配布されているパッケージ
- サードパーティのDockerイメージ
- アプリ内自動更新機能（エンドツーエンドのデジタル署名で保護）
開発者はこう説明している。
winget、Flatpak、Snapのインフラはわれわれの管理外にある。これらで配布されるファイルは別のインフラにホストされており、SHA-256のチェックサムで保護されている。今回の侵害でチェックサムは変わっていない。
つまり、すでにJDownloaderを使っていて自動更新で最新版を受け取っているユーザーは、影響を受けていない。新規にウェブサイトから5月6日〜7日の間にダウンロードしたユーザーだけが被害対象だ。
「信頼されたツール」を踏み台にする攻撃の連続性
JDownloaderは、信頼されているツールの人気を悪用してマルウェアを配布する「サプライチェーン攻撃」の最新の犠牲者だ。先月にもCPUIDの公式サイトがハッキングされ、CPU-ZやHWMonitorのインストーラに「CRYPTBASE.dll」という悪意あるDLLが仕込まれた事例があった。
CPU-Zの場合は正規のアプリ自体は無傷で、サイドローディングされたDLLがメモリに先に読み込まれる仕組みだった。今回のJDownloaderはより直接的で、インストーラそのものを差し替えている。攻撃者の手口に統一性はないが、公式配布チャネルの乗っ取りという発想は共通している。
ユーザーが「公式サイトから落とす」という最も基本的な安全策が、機能しなくなっている。これが今、現実に起きていることだ。
影響を受けた可能性がある人がやるべきこと
5月6日から7日にかけて、JDownloader公式サイトからWindowsまたはLinux向けインストーラをダウンロードして実行した心当たりがあるなら、対応が必要になる。
- 最新の定義ファイルを当てたアンチウイルス、または専用マルウェア駆除ツール（Malwarebytesなど）でフルスキャンする
C:\Program Files (x86)やAppData配下に見覚えのないフォルダや実行ファイルがないか確認する- パスワードを別のクリーンな端末から変更する
- ブラウザに保存されていた認証情報、セッションクッキーは漏洩している前提で扱う
- 異常が見つかれば、OSのクリーンインストールを検討する
JDownloader開発チームはバックアップから配布ファイルを復元し、設定の堅牢化を進めた上で、日本時間5月9日早朝にウェブサイトをオンラインへ戻している。トップページとフォーラムには今回の侵害を伝える告知が掲載されている。
検出回避のための慎重なテスト、認証なしでACLを書き換えられる根本的な設計欠陥、そして「いつもの誤検知」と勘違いした警告無視。三つが揃わなければ、これだけの被害は出なかった。OSベンダーが用意した警告に頼るだけでは、もう公式サイトの安全すら担保できない時代になっている。
参照元
関連記事
- CPU-Z・HWMonitor、公式サイトからマルウェア配布
- Arch LinuxのAURが400件超のマルウェア汚染。その手口と対処法
- Windowsゼロデイ6件、業界が問うMSRCの崩壊
- 通信会社を狙う中国系APT、新型マルウェアで4年潜伏
- DAEMON Tools侵害、開発元が「12時間対応」を強調
- DAEMON Tools公式インストーラー、1か月汚染が発覚
- AURマルウェア、削除完了の翌日にさらに高度な第3波が発生
- AURマルウェア、被害は1,579件超に拡大。第2波も発生していた
- Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
- MiasmaワームがMicrosoft GitHubを直撃、73リポジトリが強制封鎖
