Атаки на сервери Plex встановлюють майнери й проксі — Ars Technica
Зловмисники активно використовують нещодавно виправлені уразливості Plex Media Server для зараження пристроїв шкідливим програмним забезпеченням, зокрема майнерами криптовалют і програмним забезпеченням для резидентних проксі. Про це повідомляє Ars Technica з посиланням на дослідника безпеки.
Ланцюжок із чотирьох уразливостей
На початку попереднього місяця Plex усунула чотири уразливості у своєму медіасервері. Через три тижні після цього було оприлюднено п’ять CVE, одна з яких отримала оцінку серйозності 8,6 із 10. Дослідник опублікував експлойт, що поєднує чотири уразливості та дає змогу віддалено виконувати код на пристрої з уразливою версією Plex. Цей ланцюжок він назвав Plex2Shell.
Інший дослідник створив honeypot — імітацію сервера Plex для відстеження спроб атак. Уже протягом доби він зафіксував активне сканування такого сервера, а згодом — успішні спроби зараження пристроїв.
Більше актуальних новин читайте у Telegram-каналі UA.News.
Майнери та проксі на заражених пристроях
За даними дослідника, один зі шкідливих компонентів використовує обчислювальні ресурси пристрою для майнінгу криптовалюти, яку спрямовують на гаманець атакувальника. Інший компонент перетворює заражений пристрій на резидентний проксі: через нього користувачі можуть надсилати свій інтернет-трафік до кінцевого ресурсу, приховуючи його походження.
Опублікований доказ концепції передбачав кілька етапів, зокрема SSRF-атаку без автентифікації, доступ через loopback-інтерфейс, викрадення токена безпеки, доставлення та виконання корисного навантаження. Автор експлойту заявив, що активно застосовував штучний інтелект під час розробки, однак рішення щодо пошуку та пріоритизації уразливостей ухвалював самостійно.
Рекомендації користувачам
Користувачам Plex радять переконатися, що на сервері встановлено версію 1.43.3. Оновлення можна налаштувати автоматично чи встановити вручну. Найбезпечнішим варіантом є обмеження доступу до медіасервера локальною мережею без відкриття його в інтернеті. Якщо сервер доступний з інтернету, у матеріалі радять розглянути використання зворотного проксі замість стандартного порту 32400, а також користуватися захищеними застосунками Plex і надійними паролями.
