Атаки на серверы Plex устанавливают майнеры и прокси — Ars Technica
Злоумышленники активно используют недавно исправленные уязвимости Plex Media Server для заражения устройств вредоносным программным обеспечением, в частности майнерами криптовалют и программным обеспечением для резидентных прокси. Об этом сообщает Ars Technica со ссылкой на исследователя безопасности.
Цепочка из четырех уязвимостей
В начале предыдущего месяца Plex устранила четыре уязвимости в своем медиасервере. Через три недели после этого были раскрыты пять CVE, одна из которых получила оценку серьезности 8,6 из 10. Исследователь опубликовал эксплойт, объединяющий четыре уязвимости и позволяющий удаленно выполнять код на устройстве с уязвимой версией Plex. Эту цепочку он назвал Plex2Shell.
Другой исследователь создал honeypot — имитацию сервера Plex для отслеживания попыток атак. Уже в течение суток он зафиксировал активное сканирование такого сервера, а позже — успешные попытки заражения устройств.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Майнеры и прокси на зараженных устройствах
По данным исследователя, один из вредоносных компонентов использует вычислительные ресурсы устройства для майнинга криптовалюты, которая направляется на кошелек атакующего. Другой компонент превращает зараженное устройство в резидентный прокси: через него пользователи могут отправлять свой интернет-трафик к конечному ресурсу, скрывая его происхождение.
Опубликованное доказательство концепции предусматривало несколько этапов, в том числе SSRF-атаку без аутентификации, доступ через loopback-интерфейс, кражу токена безопасности, доставку и выполнение полезной нагрузки. Автор эксплойта заявил, что активно применял искусственный интеллект при разработке, однако решения о поиске и приоритизации уязвимостей принимал самостоятельно.
Рекомендации пользователям
Пользователям Plex советуют убедиться, что на сервере установлена версия 1.43.3. Обновления можно настроить автоматически или установить вручную. Самый безопасный вариант — ограничить доступ к медиасерверу локальной сетью, не открывая его в интернете. Если сервер доступен из интернета, в материале советуют рассмотреть использование обратного прокси вместо стандартного порта 32400, а также пользоваться защищенными приложениями Plex и надежными паролями.
