Ce logiciel gratuit utilisé par des millions de personnes a diffusé un cheval de Troie à son insu

Des hackers ont compromis le site officiel de JDownloader pour y glisser des installeurs piégés. La substitution est passée inaperçue pendant plus d’un jour. Si vous avez téléchargé le logiciel cette semaine, votre ordinateur est peut-être infecté.

Les attaques dites de la chaîne d’approvisionnement se multiplient depuis le début de l’année. Leur principe est toujours le même. Plutôt que de cibler directement les utilisateurs, les pirates s’en prennent à un logiciel de confiance pour y glisser un code malveillant à la source. Le site officiel de Daemon Tools avait été compromis en avril pour répandre un malware dans plus de 100 pays, dont la France. Ces offensives sont redoutables, car elles détournent la confiance accordée aux sources habituelles.

JDownloader n’a pas échappé à cette tendance. Ce gestionnaire de téléchargements gratuit est utilisé par des millions de personnes depuis plus d’une décennie. Le site de CPU-Z et HWMonitor avait subi le même sort quelques semaines plus tôt, lorsque des pirates avaient remplacé les installeurs officiels par des versions infectées. C’est désormais le site de JDownloader qui a été visé entre le 6 et le 7 mai 2026.

Des pirates ont remplacé les installeurs de JDownloader par un cheval de Troie

Selon le rapport de l’équipe de développement publié sur Reddit, des pirates ont exploité une faille non corrigée dans le système de gestion de contenu du site de JDownloader. Cette vulnérabilité leur a permis de modifier les droits d’accès sans authentification, puis de remplacer les liens de téléchargement. Un utilisateur a donné l’alerte en remarquant que Windows Defender signalait les fichiers comme suspects. L’éditeur affiché était inconnu, à la place d’AppWork GmbH. Les installeurs alternatifs Windows déployaient un cheval de Troie d’accès à distance basé sur Python. Le script Linux contenait du code malveillant. Les utilisateurs ayant exécuté ces fichiers doivent réinstaller leur système et changer tous leurs mots de passe.

Tous les utilisateurs de JDownloader ne sont pas concernés. Les mises à jour intégrées à l’application, les paquets Flatpak, Winget et Snap, et les installeurs macOS sont restés intacts. Ces canaux reposent sur des infrastructures sécurisées par des signatures cryptographiques indépendantes. Pour savoir si votre installeur est suspect, faites un clic droit sur le fichier, puis cliquez sur Propriétés et enfin sur Signatures numériques. Si le nom affiché n’est pas AppWork GmbH, ne lancez pas le fichier. Le site a été remis en ligne dans la nuit du 8 au 9 mai.