Насколько реальна подобная сетевая атака?
насколько реален сценарий, когда злоумышленники, заранее прослушивающие трафик, внедряют вредоносной код/файлы в процессе такой установки Возможность такой атаки есть. Но не всегда - только если скачивание идет по незащищенному протоколу, и нет проверки того что скачали.
По поводу второго вопроса - потому что глючит.
Атаки такого рода не просто реальны, они периодически встречаются "в полях". Там не совсем подмена трафика в ответе, там скорее подстановка своего сервера с заранее собранным под конкретную жертву файлом. Т. е. жертва считает, что качает обновления к 1С с сайта 1С, а по факту (путём подмены DNS-ответа, например), качает она бинарь с совсем другого сайта, и этот бинарь, помимо обновлений 1С содержит ещё "некий функционал", который реализует задачи атакующего.
Либо ещё интереснее -- внедряются в инфраструктуру разработчика, и добавляют "свою версию" бинарника обновлений либо на сервер обновлений, либо даже в репозиторий исходного кода этот самый "некий функционал". И когда идёт сборка пакета, то с совершенно легального сервера обновлений клиенты получат несколько модифицированные обновления. См. историю с MeDoc и вымогателем Petya. По-научному такая атака называется "атака на цепочку поставки".