Plex Media Serveri kriitilisi haavatavusi kasutatakse aktiivsetes pahavara rünnakutes

Pilt: Ars Technica · Allikas

Mitmed Plex Media Serveri turvavead on ära kasutatud pahavara levitamiseks, sealhulgas krüptokaevurid ja proksitarkvara; kasutajatel soovitatakse viivitamatult uuendada versioonile 1.43.3, et vältida pahatahtlikku kaugkoodi käivitamist.

Turvauurijad on paljastanud, et Plex Media Serveris parandatud haavatavused sattusid kiiresti ründajate huviorbiiti, kes kasutasid neid pahatahtliku tarkvara levitamiseks. Plexi meeskond lahendas nelja kriitilise turvaprobleemi eelmise kuu uuenduses, kuid hilisemad avalikustamised näitasid kokku viit haavatavust, millest üks hinnati 8,6-st kümnest tõsiduse skaalal. Uus ekspluateerimisvõimalustest koosnev ahel nimega „Plex2Shell“ kasutab nelja neid vigu kombinatsioonis, et saavutada mõjutatud süsteemidel kaugkoodi täitmine.

Ekspluateerimisprotsess hõlmab mitmeid keerukaid samme, sealhulgas autentimata serveripoolset päringu võltsimist (SSRF), tagasihaarde ümberpööramist, tokeni vargust ning lõpuks sihtmööda koodi käivitamist. Tähtis on, et ahela loonud uurija kasutas tehisintellekti intensiivselt, et kiirendada haavatavuste leidmist ja ekspluateerimiskoodi kokkupanekut, kuigi protsessi juhtis hoolikas käsitsi kontroll.

Pärast andmete avalikustamist paigutas teine uurija „mesiõunaservereid“, mis simuleerisid haavatavaid Plexi installeeringuid; need said kiiresti rünneteks ja infecteerumiseks sihtmärgiks. Täheldatud rünnakud laadisid kahte peamist tüüp koodi: krüptovaluuta kaevureid, mis kasutavad nakatunud süsteemi ressursse ründajate krüptovaluuta genereerimiseks, ning elamupiirkondade proksitarkvara, mis võimaldab anonüümset ja sageli ebaseaduslikku internetiliiklust läbi kompromiteeritud seadmete.

Sest Plexi serverid töötavad sageli koduvõrgu IP-aadressidega, hindavad küberkurjategijad neid nakatunud masinaid selleks, et varjata end kohalike koduvõrkude taga, võimaldades juurdepääsu tundlikele ettevõtte ressurssidele nagu VPN-id ja meiliserverid.

Plexi kasutajatele soovitatakse tungivalt kontrollida, et nende tarkvara on uuendatud versioonile 1.43.3 või uuemale, mis parandab need haavatavused. Tarkvara toetab automaatseid uuendusi, kuid võimalik on ka käsitsi paigaldus. Kasutajad peaksid lisaks piirama Plexi serveri ligipääsu ainult kohalikele võrkudele, kasutama tagurpidiseid proksiservereid tavaliste avatud internetiportide asemel, kasutama ametlikke ja turvalisi Plexi rakendusi ning hoidma tugevaid ja unikaalseid paroole.

Arvestades aktiivseid rünnakuid, on kiire ülevõtmine ja parandus kõigile Plexi kasutajatele äärmiselt oluline. Originaalne Plexi turvameeskond pole veel teemat kommenteerinud.

Tehnilised üksikasjad ja tõestuskonseptsiooni ekspluateerimiskood on avalikult jagatud uurijate poolt platvormidel nagu GitHub, rõhutades kiire tegutsemise vajadust. See intsident rõhutab populaarsete meediaserverite tarkvara suunatud rünnakute kasvavat keerukust ning regulaarsete uuenduste ja tugeva turvakonfiguratsiooni tähtsust.