Ataki na serwery Plex instalują koparki i proxy — Ars Technica
Atakujący aktywnie wykorzystują niedawno naprawione luki w Plex Media Server do infekowania urządzeń złośliwym oprogramowaniem, w tym koparkami kryptowalut i oprogramowaniem do rezydencyjnych serwerów proxy. Jak informuje Ars Technica, powołując się na badacza bezpieczeństwa.
Łańcuch czterech luk
Na początku poprzedniego miesiąca Plex usunął cztery luki w swoim serwerze multimedialnym. Trzy tygodnie później ujawniono pięć CVE, z których jedna otrzymała ocenę ważności 8,6 na 10. Badacz opublikował exploit, który łączy cztery luki i umożliwia zdalne wykonanie kodu na urządzeniu z podatną wersją Plex. Nazwał ten łańcuch Plex2Shell.
Inny badacz stworzył honeypot — imitację serwera Plex do śledzenia prób ataków. Już w ciągu doby odnotował aktywne skanowanie takiego serwera, a później także udane próby infekowania urządzeń.
Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.
Koparki i proxy na zainfekowanych urządzeniach
Według badacza jeden ze złośliwych komponentów wykorzystuje zasoby obliczeniowe urządzenia do wydobywania kryptowaluty, która trafia do portfela atakującego. Inny komponent przekształca zainfekowane urządzenie w rezydencyjny serwer proxy: użytkownicy mogą przez niego wysyłać swój ruch internetowy do docelowego zasobu, ukrywając jego pochodzenie.
Opublikowany dowód koncepcji obejmował kilka etapów, w tym nieuwierzytelniony atak SSRF, dostęp przez interfejs loopback, kradzież tokena bezpieczeństwa, dostarczenie i wykonanie ładunku. Autor exploitu oświadczył, że aktywnie wykorzystywał sztuczną inteligencję podczas prac, jednak decyzje dotyczące wyszukiwania i priorytetyzacji luk podejmował samodzielnie.
Zalecenia dla użytkowników
Użytkownikom Plex zaleca się upewnienie, że na serwerze zainstalowano wersję 1.43.3. Aktualizacje można skonfigurować automatycznie lub zainstalować ręcznie. Najbezpieczniejszą opcją jest ograniczenie dostępu do serwera multimedialnego do sieci lokalnej bez udostępniania go w internecie. Jeśli serwer jest dostępny z internetu, materiał radzi rozważyć użycie odwrotnego proxy zamiast standardowego portu 32400, a także korzystać z bezpiecznych aplikacji Plex i silnych haseł.
