Хакеры используют уязвимость в Plex для установки майнеров криптовалют на тысячи серверов

Хакеры с 17 октября используют цепочку из четырех уязвимостей безопасности в Plex Media Server, чтобы удаленно контролировать домашние серверы без необходимости ввода пароля, устанавливать майнеры криптовалют и превращать устройства в посредников для анонимного трафика. Эта цепочка уязвимостей, названная Plex2Shell, объединяет четыре уязвимости: мошенничество с запросами на стороне сервера без аутентификации, несанкционированный доступ к внутренним функциям программы, кражу токена администратора владельца сервера и произвольную запись файлов в папку кодеков. В совокупности они позволяют выполнять код с теми же правами, что и сам сервис Plex. Plex исправил все четыре уязвимости в начале сентября с версией 1.43.3 и тогда же призвал пользователей обновиться. Три недели спустя были опубликованы соответствующие идентификаторы: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656, одна из которых имеет степень серьезности 8,6 из 10. 16 октября исследователь безопасности опубликовал технический отчет с кодом, способным связать четыре уязвимости и выполнять их удаленно без необходимости в действительных учетных данных. "Эти уязвимости активно и широко эксплуатируются. Если ваш сервер старше версии 1.43.3.10861 и доступен из интернета, предположите, что он может быть скомпрометирован," - предупредил Plex в заявлении, опубликованном 19 октября на своем официальном форуме поддержки.

Майнеры криптовалют и скрытые прокси

Второй исследователь создал сервер-ловушку с уязвимой версией, чтобы отслеживать атаки в реальном времени. Он обнаружил первые попытки эксплуатации 17 октября, на следующий день после того, как код стал доступен публично. Атакующие сначала установили майнер криптовалют на основе XMRig, а через несколько часов программу под названием myawesomeproxy, которая превращает зараженный сервер в посредника интернет-трафика. Эта программа позволяет третьим лицам перенаправлять свой собственный трафик через соединение жертвы, чтобы скрыть его источник. "Plex часто размещается на жилых IP-адресах, и атакующие именно ищут такие прокси для доступа к корпоративным сетям и электронной почте," - написал исследователь, обнаруживший активность, как цитирует Ars Technica. Компания по мониторингу угроз Shadowserver обнаружила более 48 000 серверов Plex, напрямую доступных из интернета с уязвимыми версиями, как сообщило немецкое издание Golem.de на основе сканирований этой организации.

Что должны делать пользователи

Plex рекомендовал немедленно обновиться до версии 1.43.3.10861 или более поздней через общие настройки программы. Также было предложено проверить наличие неизвестных процессов, связанных с сервисом, или нераспознанных файлов в папке кодеков. Другим тревожным сигналом являются исходящие соединения к домену proxystream.st, что указывает на то, что устройство уже было скомпрометировано программой прокси. Если обнаружены какие-либо из этих следов, компания предлагает переустановить сервер с нуля, а не повторно использовать предыдущую папку данных. Также было рекомендовано выйти из всех устройств, связанных с учетной записью, и сменить пароль. Для тех, кто не нуждается в удаленном доступе, Plex предложил отключить эту функцию и избегать открытия порта 32400 для интернета. Исходная уязвимость была сообщена компании 27 июля исследователем, который получил денежное вознаграждение за находку. "Это не было просьбой к языковой модели взломать Plex. Это были часы итеративной работы, тупиковых ситуаций и перераспределения приоритетов," - написал исследователь, хотя уточнил, что решения о том, что приоритизировать, были его. Plex не ответил сразу на запросы специализированной прессы о полном объеме скомпрометированных серверов.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.