משתמשי תוכנת הורדת הקבצים הפופולרית JDownloader נמצאים תחת איום מיידי.
לפי דיווח ברדיט, האתר הרשמי של התוכנה נפל קורבן לפריצה משמעותית, במסגרתה הצליחו תוקפים להחליף את קובצי ההתקנה הלגיטימיים בגרסאות נגועות המכילות סוס טרויאני מסוג RAT המבוסס על שפת Python.
מתקפת שרשרת אספקה: כיצד התבצעה הפריצה?
מדובר באחת המתקפות המתוחכמות והמסוכנות ביותר, מתקפת שרשרת אספקה (Supply Chain Attack). במקום לתקוף כל משתמש בנפרד, ההאקרים הצליחו לחדור לשרתים של JDownloader ולהחליף את קובצי ה-Installer הרשמיים.
משמעות הדבר היא שכל מי שהוריד את התוכנה מהאתר הרשמי בימים האחרונים, לא קיבל הודעת אזהרה מהדפדפן או ממערכת ההפעלה, שכן הקובץ הגיע ממקור "מהימן". הפריצה התגלתה לאחר שחוקרי אבטחה הבחינו בתעבורת רשת חשודה שמקורה בקובצי ההתקנה החדשים, שהיו כבדים מהרגיל וכללו סקריפטים מוצפנים.
הסכנה שבפנים: מה עושה ה-Python RAT במחשב שלכם?
הנוזקה שהושתלה בתוך ההתקנה היא Python-based Remote Access Trojan (RAT). מדובר בכלי זדוני רב-עוצמה המעניק לתוקפים שליטה כמעט מלאה על המחשב המותקף.
לאחר ההתקנה, הנוזקה מבצעת מספר פעולות הרסניות:
- גניבת סיסמאות: סריקת דפדפנים וגניבת פרטי התחברות לחשבונות בנק, רשתות חברתיות וארנקי קריפטו.
- צילום מסך והקלטת מקלדת: מעקב אחרי כל פעולה שאתם מבצעים על המחשב.
- גישה לקבצים: יכולת להוריד, לשנות או למחוק קבצים אישיים מרחוק.
- פתיחת "דלת אחורית": יצירת חיבור קבוע לשרת התוקף (C2), המאפשר להאקרים לחזור למחשב גם לאחר הפעלה מחדש.
כיצד תתגוננו ומה עליכם לעשות אם התקנתם את התוכנה לאחרונה?
אם הורדתם או עדכנתם את JDownloader במהלך השבוע האחרון, עליכם לפעול במהירות כדי להגן על המידע שלכם:
- ניתוק מהרשת: במידה ואתם חושדים שהמחשב נגוע, נתקו אותו מהאינטרנט כדי למנוע מהנוזקה לשלוח מידע החוצה.
- בדיקת גרסה וסריקה: הריצו סריקה מלאה של אנטי-וירוס מעודכן. שימו לב כי נוזקות מבוססות Python עלולות לעיתים לחמוק ממנגנוני הגנה בסיסיים, לכן מומלץ להשתמש בכלי סריקה ייעודיים ל-Malware.
- החלפת סיסמאות: לאחר ניקוי המחשב, החליפו מיד את כל הסיסמאות החשובות שלכם ממכשיר אחר (טלפון או מחשב נקי).
- אימות חתימה דיגיטלית: בעתיד, הקפידו לבדוק את ה-Checksum (MD5/SHA256) של קבצים שאתם מורידים, במידה והאתר מספק כאלו, כדי לוודא שהקובץ לא שונה.
נכון לרגע זה, צוות JDownloader פועל להחזרת השליטה על השרתים ולניקוי גרסאות ההתקנה, אך האתר עשוי להיות לא זמין לסירוגין עד להשלמת התיקון.
