ИИтог

Plex Media Server взламывают через исправленные уязвимости и ставят майнеры

безопасностьРедакция ИИтогArs Technica🔥53Рейтинг ИИтог53Влияние55Новизна45Релевантность75Неожиданность40Участники25Достоверность80
Plex Media Server взламывают через исправленные уязвимости и ставят майнеры

Недавно исправленные уязвимости в Plex Media Server активно эксплуатируются в атаках, которые при успехе устанавливают вредоносное ПО, в том числе криптомайнеры и приложения для резидентных прокси. Об этом сообщил один из исследователей.

Хронология такая. В начале прошлого месяца Plex исправила четыре уязвимости. Спустя три недели опубликованные CVE-обозначения показали, что уязвимостей пять, причём одна из них получила оценку опасности 8,6 из 10 (какая именно, не уточняется). На прошлой неделе другой исследователь раскрыл эксплойт, который объединяет четыре из этих уязвимостей в цепочку и позволяет добиться удалённого выполнения кода на устройстве с уязвимой версией Plex. Цепочку он назвал «Plex2Shell».

Новые подробности позволили ещё одному исследователю развернуть honeypot (сервер-приманку), который отслеживает попытки эксплуатации этой цепочки в реальных условиях. В течение суток он увидел активное сканирование имитированного сервера Plex, а затем и успешные попытки заражения устройств.

Пока успешные атаки устанавливают две полезные нагрузки. Первая, криптомайнер: он использует устройство для добычи криптовалюты, которая отправляется на кошелёк атакующего. Вторая, ПО для резидентного прокси: оно позволяет анонимизировать интернет-активность (по словам автора материала, во многом незаконную): пользователь подключается к зараженному устройству и через него отправляет свой трафик к конечному адресу.

Второй исследователь объяснил интерес к Plex так: сервер может работать на домашнем IP-адресе, а злоумышленникам нужен резидентный IP-прокси для доступа к корпоративным VPN и почте.

Ключевые факты

  • Plex в начале прошлого месяца исправила четыре уязвимости; через три недели CVE-обозначения показали пять уязвимостей, одна из них с оценкой 8,6 из 10.
  • Исследователь раскрыл эксплойт «Plex2Shell»: цепочка из четырёх уязвимостей даёт удалённое выполнение кода на устройстве с уязвимой версией Plex.
  • Honeypot второго исследователя за сутки зафиксировал активное сканирование и затем успешные попытки заражения имитированного сервера Plex.
  • Атаки пока ставят две нагрузки: криптомайнер с выводом добычи на кошелёк атакующего и ПО для резидентного прокси.
  • Резидентный прокси интересен злоумышленникам для доступа к корпоративным VPN и почте через домашние IP-адреса.

Почему это важно

Уязвимости не просто теоретические: после публикации подробностей эксплойта атаки пошли быстро. Honeypot начал фиксировать сканирование в течение суток, а затем и успешные попытки заражения. Цепочка из четырёх уязвимостей даёт удалённое выполнение кода, то есть полный контроль над устройством с уязвимой версией Plex Media Server.

Кому это важно

Всем, кто запускает Plex Media Server на домашнем сервере, NAS или другом устройстве, особенно если он доступен из интернета и не обновлялся после исправлений прошлого месяца. Также это сигнал администраторам корпоративных сетей: по словам исследователя, заражённые домашние устройства ценны атакующим как резидентные прокси для доступа к корпоративным VPN и почте.

Как это применить

Главный вывод вынесен в заголовок материала: обновить Plex Media Server, пока его не взломали. Номер исправленной версии в тексте источника не указан, поэтому ориентируйтесь на последнюю доступную версию от Plex. Дополнительных мер защиты источник не приводит.

Можно ли доверять

Материал Ars Technica ссылается на двух исследователей, имена которых в тексте не названы. CVE-идентификаторы и номер исправленной версии не приведены. Данные о попытках заражения получены с honeypot, то есть с имитированного сервера, а не из подсчёта реальных жертв. Источник не говорит, сколько устройств заражено и кто стоит за атаками.

Риски и подводные камни

Источник не сообщает ни число заражённых устройств, ни число доступных из интернета серверов Plex, поэтому реальный масштаб неизвестен. Пока зафиксированы две нагрузки (майнер и резидентный прокси), но это описание текущих атак, а не гарантия, что другого вредоносного ПО не будет. Не объясняется, почему пятая уязвимость не вошла в цепочку. Заражение к тому же может использоваться для анонимизации трафика, в том числе противозаконного, о чём пишет автор материала.

«Plex может размещаться на домашнем IP-адресе [sic], и, думаю, злоумышленники были бы рады получить резидентный IP-прокси для доступа к корпоративным VPN и почте.»

— второй исследователь, создатель honeypot (имя в источнике не названо)