News Manipulierte Downloads: Website von JDown­loader kom­promittiert

[obama]

Soweit ich das verstanden habe waren die Updates im Programm ja nicht infiziert gewesen?

Genau. So sagt es jedenfalls der Entwickler.
Nichtsdestotrotz bleibt ein bitterer Beigeschmack. Ich meine, kann man einer Software wirklich vertrauen, wenn die Website dazu wie ein Scheunentor offensteht?
Ich habe von der Materie keine Ahnung und bin nur interessierter Laie. Es wirkt nur ziemlich merkwürdig. Klar, 100-%-ige Sicherheit gibt es nicht. Aber eine Website so zu sichern, dass so etwas nicht passiert, gerade als Entwickler einer Software, sollte doch machbar sein oder? Und die zugrundeliegenden Pakete eben aktuell zu halten, damit es keine Sicherheitslücken gibt.

Was mir aber sehr (!) viel mehr Sorgen macht: Solche Angriffe schießen in letzter Zeit aus dem Boden wie Pilze. Und das nicht nur auf den Websites, auch in Bezug auf den Update-Mechanismus (siehe Notepad++).
Damit sind auch Hash-Codes auf den Websiten nicht mehr vertrauenswürdig.
Was macht man dagegen? Wie kann man, wenn man lernte, sich Software vom Hersteller zu besorgen, noch sicher sein, dass alles in Ordnung ist? Und selbst Paketmanager sind, wie hier im Thread schon erwähnt wurde, nicht unbedingt sicher. Sind vielleicht Stores a la AppStore von Apple, PlayStore von Android und der Store von Windows die besseren Alternativen? Ich weiß es nicht und bin eigentlich kein Fan von denen, da es Beschränkungen gibt, die mir manchmal nicht gefallen.
Vielleicht braucht es eine dezentrale Datenbank für Hashes, um den jeweiligen Download damit zu verifizieren? Nur so eine Idee.
Ich würde gerne eure Meinung dazu hören, weil ich mich als neugieriger Laie damit zu wenig auskenne.

 

[highwind01]

Schlau deine illegalen Aktivitäten hier offen zuzugeben
Und dann wundern wenn Post kommt......

Die Post ist dann adressiert an TrabT in der Computerbase Straße 1 in 12345 Paranoidfurt?

 

[R4ID]

@highwind01

Denkst du denn ernsthaft du bist anonym im Netz ?
Wenn Strafverfolgungsbehörden aufgrund eines Indiz ermitteln müssen dann gibt es da auch Mittel und Wege herauszufinden wer sich hinter welchen Nick verbirgt.

 

[Krik]

Ähm nein. So funktioniert unser Rechtssystem nicht.
Überleg mal selber: Dann müsste ja jede Handlung die nicht gesetzlich geregelt ist, automatisch verboten sein.

Zieh das nicht aus den Kontext. Diese Handlungen, von denen wir hier reden, sind gesetzlich geregelt.

Auweia. Wie konzern-hörig kann man sein.

So ein Quatsch!
Wenn man 21 Jahre auf dem Markt ist, hat man schon allerhand an juristischen Streitigkeiten hinter sich. Möglicherweise hat man noch irgendwo etwas übersehen, was nicht ganz gerichtsfest ist, aber 99,9% ist mittlerweile geregelt. Das kann man nicht absprechen.

Die Quelle ist aber nicht irgendeine Warez-Site sondern Youtube. Das scheidet also schon mal aus.

Macht es nicht. Wenn "XxXiAMurMOTHERxXx" das neuste Justin Bieber-Lied auf seinem Kanal anbietet, am besten noch mit Eigenwerbung vorne weg, dann ist das ein offensichtlich illegales Angebot. Es rennt einem bei YT nur keiner hinterher, wenn man sich das anschaut. Trotzdem ist es nicht erlaubt. Und wenn man es dann auch noch runter lädt, dann hat man es auch noch illegal vervielfältigt. Klar, auch hier rennt einem keiner hinterher. Legal wird es dann aber trotzdem nicht.
YT weiß darum und hat auch Systeme am Start, die diese illegalen Angebote suchen und sperren und die erzielten Werbeeinnahmen auf den echten Urheber umleiten.

Du ganz normal über die Website schaust, wird ja lokal eine Kopie angelegt. Wenn das illegal wäre, wie auch die Webseite von Youtube illegal.

Nun, es wird schwierig eine Webseite anzubieten, wenn man es nicht erlaubt, eine Kopie davon temporär im Browser-Cache vorzuhalten. Es wird also ein implizites Recht darauf zugesprochen. Das gibt einem aber nicht das Recht, darüber hinaus zu tun, was man will.

Übrigens:

Du erteilst uns (der ComputerBase GmbH) ein nicht-exklusives, permanentes, unwiderrufliches und unbegrenztes Nutzungsrecht für die von dir auf ComputerBase erstellten Inhalte.

Das Internet ist kein rechtsfreier Raum. Das war es noch nie.

 

[nipponpasi]

Danke fuer die Info @mischaef

 

[Experte18]

Genau. So sagt es jedenfalls der Entwickler.
Nichtsdestotrotz bleibt ein bitterer Beigeschmack. Ich meine, kann man einer Software wirklich vertrauen, wenn die Website dazu wie ein Scheunentor offensteht?
Ich habe von der Materie keine Ahnung und bin nur interessierter Laie. Es wirkt nur ziemlich merkwürdig. Klar, 100-%-ige Sicherheit gibt es nicht. Aber eine Website so zu sichern, dass so etwas nicht passiert, gerade als Entwickler einer Software, sollte doch machbar sein oder? Und die zugrundeliegenden Pakete eben aktuell zu halten, damit es keine Sicherheitslücken gibt.

Jemand müsste nur hier drauf antworten dann wüssten wir mehr.

Wird der Defender in der Taskleiste dann als deaktiviert angezeigt?

Jemand müsste nur darauf antworten dann wüssten wir mehr.

Also kann da jemand drauf antworten?

 

[Cool Master]

erschreckend wie schlecht viele Webserver in der Sicherheit dastehen ....

Das ist eher, wie bei fast allen exploits, eine schlechte Konfiguration oder, wie in diesem Fall, einfach das fehlen eines patches.

 

[Rotpeter]

Sehr gutes Programm. Sollte es auch mal so langsam als eigenständige Version für Android geben. Gab da mal den ShareDownloader, wurde aber nach kurzer Zeit leider nicht mehr weiterentwickelt.

Schau dir mal Ponydroid ein, funktioniert genauso, auch mit Premium-Accounts und Debrid-Kram. Fur Youtube-DL kann ich allerdings nicht sprechen, da nie dafür genutzt.

 

[Snapuman]

Darkmode geht über Themes:

https://support.jdownloader.org/de/knowledgebase/article/dark-mode-theme

So nach etwas herumgefrickel sieht es ganz gut aus, aber hast/kennst du zufällig eine Lösung für die Topbar unter Windows 11 (also ganz oben) - die bleibt als einzige nach wie vor hell/weiss...

https://github.com/Vinylwalk3r/JDownloader-2-Dark-Theme/tree/master
-> auf den Screenshots hier ist sie dunkel - da wird aber überall auch nur Win10 erwähnt. Für macos gibts da laut Anleitung eine Command um die Topbar auch dark zu bekommen - ich vermute Win11 macht hier iwas anders als Win10...

 

[Robert.]

Beim letzten Mal hab ich eine Verwarnung bekommen, als ich meinen Anwendungszweck für JD geschrieben habe.
Viele haben den gleichen Zweck wie ich und die Beiträge stehen noch.
Moderation hier ist reine Willkür

Ich benutze es für Urhe....rec...verle...ungen, davon hab ich schon mehrere TB am NAS. Danke JD

 

[schwimmcoder]

ich staune das in zeiten von schnellem Internet solche Software noch genutzt wird.

Gibt genug Server, die immernoch stark limitiert sind im Download oder einfach Nutzer, wo die eigene Internetleitung noch langsam ist. 10GB über ne 20Mbit/s Leitung herunterzuladen macht wenig Spaß und ist in Deutschland immernoch oft vertreten.

 

[nipponpasi]

Moderation hier ist reine Willkür

Du hast leicht reden, du musst es ja nicht machen. ☝️😌

Die Armen muessen leider staendig posts von mir verschieben. 🫶

Das WE hier wird's bei mir jedenfalls ruhiger. 😌

 

[Snapuman]

Moderation hier ist reine Willkür

Ich benutze es für Urhe....rec...verle...ungen, davon hab ich schon mehrere TB am NAS. Danke JD

gemeldet! .. Nein Spaß

 

[Einfallslos2023]

Habe gehört, dass Sammler ihn immer noch gerne nutzen

Und die fangen sich ja eh genug ein mit ihren Urlaubsalben, da tut der Download von Jloader auch nix mehr zur Sache.)

 

[Ripcord]

Schau dir mal Ponydroid ein, funktioniert genauso, auch mit Premium-Accounts und Debrid-Kram. Fur Youtube-DL kann ich allerdings nicht sprechen, da nie dafür genutzt.

Ist mir tatsäch schon mal in's Auge gefallen aber laut den Bewertungen scheint sich so langsam das anzudeuten was auch mit den ShareDownloader passiert ist. Es gab immer seltener Updates was es praktisch unbenutzbar machte bis der Support vollständig eingestellt wurde. Der Funktionsumfang solch einer App inkl. all den Hostern bedeutet sehr viel Aufwand und die Updates müssen schnell gebracht werden, da oft schon irgendeine Änderung der Hoster bereits ein neues Update erfordert. Als Einzelperson die an solch einer App arbeitet ist das schon fast ein Fulltime-Job.

 

[Snapuman]

Sehr gutes Programm. Sollte es auch mal so langsam als eigenständige Version für Android geben. Gab da mal den ShareDownloader, wurde aber nach kurzer Zeit leider nicht mehr weiterentwickelt.

Naja also der Sinn eines solch mächtigen Download Managers der auf "spezielle Bedürfnisse" optimiert ist für Android erschließt sich mir jetzt nicht so ganz - wir sind hier ja nicht in Asien wo die meisten Menschen Desktop PC's übersprungen haben und fast alles mit mobile devices machen...

 

[Ripcord]

@Snapuman

Ist schon ganz angenehm nicht immer an den PC zu müssen oder unterwegs die Möglichkeit zu haben. Habe es damals gerne Mobil genutzt.

 

[obama]

Wird der Defender in der Taskleiste dann als deaktiviert angezeigt?

Kann ihr dir leider nicht beantworten, da ich es nicht weiß. Du kannst aber mal in das Sub-Reddit vom JDownloader schauen (r/jdownloader) und dort die Frage stellen, falls es noch nicht beantwortet wurde.
Jedenfalls scheint es eine ziemlich heftige Malware zu sein, die sich tief ins System gräbt und Code via Python ausführt, wie man bei Reddit lesen kann. Also wer weiß, was da wirklich im Hintergrund passiert. Ich vermute, hier kennt niemand die Antwort zum jetzigen Stand.

 

[nipponpasi]

Jedenfalls scheint es eine ziemlich heftige Malware zu sein, die sich tief ins System gräbt und Code via Python ausführt, wie man bei Reddit lesen kann. Also wer weiß, was da wirklich im Hintergrund passiert.

Danke fuer das Update

 

[Sebbi]

Das ist eher, wie bei fast allen exploits, eine schlechte Konfiguration oder, wie in diesem Fall, einfach das fehlen eines patches.

nun, unsere Webserver kontrollieren alle 5 Minuten im Hintergrund die Hashs und würden, wenn etwas nicht stimmst, die Website automatisch offline schalten, die nicht stimmige Daten isolieren, die Daten aus einen definieren Stand wiederherstellen, nochmal prüfen und wenn das alles ok ist, wieder online schalten und die Admins und die Security alamieren.
Das geht vorallem für statischen Daten wie Downloads und Inhalten sehr gut. Bei dynamischen Datenbanken etc sieht das natürlich ganz anders aus. Das hätte zumindest wohl diesen Angriff erstmal verhindert oder zumindest dazu geführt, der Angriff sehr schnell entdeckt wird aufgrund der Alamierung der Admins.