Hackers exploram falha no Plex para instalar mineradores de criptomoedas em milhares de servidores

Piratas informáticos exploram desde 17 de outubro uma cadeia de quatro falhas de segurança no Plex Media Server para tomar controle remoto de servidores domésticos sem precisar de senha, instalar mineradores de criptomoedas e transformar os equipamentos em intermediários de tráfego anônimo. A cadeia de falhas, batizada de Plex2Shell, combina quatro vulnerabilidades: uma fraude de solicitações do lado do servidor sem autenticação, acesso indevido a funções internas do programa, roubo do token de administrador do proprietário do servidor e escrita arbitrária de arquivos na pasta de codecs. Combinadas, permitem executar código com as mesmas permissões que o próprio serviço do Plex. O Plex corrigiu as quatro falhas no início de setembro com a versão 1.43.3 e pediu então aos usuários que atualizassem. Três semanas depois, publicou os identificadores correspondentes: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656, uma delas com uma gravidade de 8,6 sobre 10. Um pesquisador de segurança publicou em 16 de outubro um relatório técnico com o código capaz de encadear as quatro falhas e executá-las remotamente sem necessidade de credenciais válidas. "Essas vulnerabilidades estão sendo exploradas de maneira ativa e generalizada. Se seu servidor é anterior à versão 1.43.3.10861 e é acessível pela internet, assuma que pode estar comprometido", advertiu o Plex em um comunicado publicado em 19 de outubro em seu fórum oficial de suporte.

Mineradores de criptomoedas e proxies ocultos

Um segundo pesquisador montou um servidor isca com uma versão vulnerável para rastrear os ataques em tempo real. Detectou as primeiras tentativas de exploração em 17 de outubro, um dia depois que o código ficou disponível publicamente. Os atacantes instalaram primeiro um minerador de criptomoedas baseado em XMRig e, horas depois, um programa chamado myawesomeproxy, que transforma o servidor infectado em um intermediário de tráfego da internet. Esse programa permite a terceiros desviar seu próprio tráfego através da conexão da vítima para ocultar sua origem. "O Plex costuma ser hospedado em endereços IP residenciais, e os atacantes buscam justamente esse tipo de proxy para acessar redes corporativas e e-mails", escreveu o pesquisador que detectou a atividade, segundo citou Ars Technica. A empresa de monitoramento de ameaças Shadowserver detectou mais de 48.000 servidores do Plex expostos diretamente à internet com versões vulneráveis, segundo informou o meio alemão Golem.de a partir das varreduras dessa organização.

O que os usuários devem fazer

O Plex recomendou atualizar imediatamente para a versão 1.43.3.10861 ou posterior a partir da configuração geral do programa. Também pediu para verificar se existem processos desconhecidos derivados do serviço ou arquivos não reconhecidos dentro da pasta de codecs. Outro sinal de alerta são as conexões de saída para o domínio proxystream.st, indício de que o equipamento já foi comprometido pelo programa de proxy. Se algum desses rastros for detectado, a empresa sugere reinstalar o servidor do zero em vez de reutilizar a pasta de dados anterior. Também aconselhou sair de todos os dispositivos vinculados à conta e mudar a senha. Para quem não precisa de acesso remoto, o Plex sugeriu desativar diretamente essa função e evitar expor a porta 32400 à internet. A falha original foi reportada à empresa em 27 de julho por um pesquisador que recebeu uma recompensa financeira pela descoberta. "Não se tratou de pedir a um modelo de linguagem que hackeasse o Plex. Foram horas de trabalho iterativo, becos sem saída e reordenação de prioridades", escreveu o pesquisador, embora tenha esclarecido que as decisões sobre o que priorizar foram suas. O Plex não respondeu imediatamente às consultas da imprensa especializada sobre a extensão total dos servidores comprometidos.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.