Krytyczne luki w Plex Media Server wykorzystywane w aktywnych atakach malware

Image: Ars Technica · Source

Wiele luk bezpieczeństwa w Plex Media Server zostało wykorzystanych do instalacji złośliwego oprogramowania, w tym koparek kryptowalut i oprogramowania proxy; użytkownicy są pilnie proszeni o natychmiastową aktualizację do wersji 1.43.3, by zapobiec wykonaniu zdalnego kodu.

Badacze bezpieczeństwa ujawnili, że szereg luk załatanych w Plex Media Server zostało szybko wykorzystanych przez atakujących do dostarczenia złośliwego oprogramowania. Zespół Plex zaadresował cztery krytyczne problemy bezpieczeństwa w aktualizacji wydanej w zeszłym miesiącu, jednak kolejne ujawnienia pokazały pięć luk, z jedną ocenioną na 8,6 w skali 10 pod względem powagi. Nowy ciąg exploitów nazwany „Plex2Shell” wykorzystuje w połączeniu cztery z tych luk, by osiągnąć zdalne wykonanie kodu na zaatakowanych systemach.

Ciąg exploitów obejmuje wiele złożonych etapów, w tym nieautoryzowane server-side request forgery (SSRF), pivotowanie loopback, kradzież tokenów i końcowe wykonanie payloadu. Co warte podkreślenia, badacz, który stworzył ten ciąg, szeroko korzystał ze sztucznej inteligencji, aby przyspieszyć wykrywanie i składanie exploitu, jednak cały proces nadzorowany był ręcznie.

Po publikacji tych informacji inny badacz uruchomił serwery honeypot symulujące podatne instancje Plex, które szybko przyciągnęły skanowanie i udane próby infekcji w środowisku naturalnym. Zaobserwowane ataki wprowadzały dwa główne typy payloadów: koparki kryptowalut wykorzystujące zasoby zainfekowanego systemu do generowania waluty cyfrowej dla atakujących oraz oprogramowanie do proxy rezydencyjnego, umożliwiające anonimowe i często nielegalne przekierowywanie ruchu internetowego przez przejęte urządzenia.

Ponieważ serwery Plex często działają na adresach IP domowych, aktorzy zagrożeń cenią te zainfekowane maszyny za możliwość ukrycia się za lokalizacjami prawdziwych sieci domowych, co może ułatwiać dostęp do wrażliwych zasobów korporacyjnych, takich jak VPN czy systemy poczty elektronicznej.

Użytkownicy Plex są stanowczo zachęcani do sprawdzenia, czy ich instalacje są zaktualizowane do wersji 1.43.3 lub nowszej, która łata te exploity. Oprogramowanie wspiera automatyczne aktualizacje, ale możliwa jest także ręczna instalacja. Użytkownicy powinni dodatkowo rozważyć ograniczenie dostępu do serwera Plex tylko do sieci lokalnych, używać inżynierii odwrotnej zamiast domyślnych otwartych portów internetowych, korzystać z oficjalnych i bezpiecznych aplikacji Plex oraz utrzymywać silne, unikalne hasła.

Ze względu na aktywne wykorzystywanie podatności w środowisku naturalnym, natychmiastowa aktualizacja jest kluczowa dla wszystkich użytkowników Plex. Pierwotny zespół ds. bezpieczeństwa Plex nie udzielił jeszcze dalszych komentarzy w tej sprawie.

Szczegółowe informacje techniczne oraz kod exploitu typu proof-of-concept zostały publicznie udostępnione przez badaczy na platformach takich jak GitHub, podkreślając potrzebę szybkiego załatania. Całe zdarzenie akcentuje rosnącą złożoność ataków wymierzonych w popularne oprogramowanie serwerów multimedialnych, co podkreśla wagę regularnych aktualizacji i solidnej konfiguracji bezpieczeństwa.