Sicherheit · 22. Oktober 2026
Aktive Ausnutzung von Sicherheitslücken im Plex Media Server führt zur Installation von Schadsoftware
Angreifer nutzen derzeit bekannte Sicherheitslücken im Plex Media Server aktiv aus, um schädliche Software auf betroffenen Geräten zu installieren. Ein Forscher berichtete, dass erfolgreiche Angriffe zur Installation von Kryptominern und Software für residenzielle Proxy-Netzwerke führen. Diese Ausnutzungen zielen auf Systeme ab, die noch nicht mit den neuesten Sicherheitsupdates versehen wurden.
Der Hersteller Plex hatte zu Beginn des vergangenen Monats vier Sicherheitslücken behoben. Drei Wochen später enthüllten veröffentlichte Bezeichnungen für allgemeine Schwachstellen und Angriffe insgesamt fünf Fehler, wobei einer davon eine Schwerebewertung von 8,6 von 10 Punkten erhielt. Ein Forscher stellte in der vergangenen Woche eine Angriffsmethode vor, die vier dieser Lücken miteinander verkettet, um die Ausführung von Code aus der Ferne auf dem Gerät zu erreichen. Diese Verkettung wurde als Plex2Shell bezeichnet. Die neu veröffentlichten Details ermöglichten einem anderen Forscher die Erstellung eines Ködersystems, das Versuche zur Ausnutzung dieser Fehlerkette in der realen Welt verfolgen kann. Innerhalb eines Tages begann dieser Forscher aktive Scans des simulierten Servers zu beobachten, gefolgt von erfolgreichen Infektionsversuchen.
Bisher installieren erfolgreiche Angriffe zwei verschiedene Nutzlasten. Die erste ist ein Kryptominer, der die Rechenleistung des Gerätes nutzt, um digitale Währung zu schürfen und diese in eine vom Angreifer kontrollierte Geldbörse einzuzahlen. Die zweite Nutzlast besteht aus Software für residenzielle Proxy-Dienste. Diese ermöglicht es Personen, ihre Internetaktivitäten zu anonymisieren, indem sie sich mit dem infizierten Gerät verbinden und ihren Datenverkehr über dieses an ein finales Ziel weiterleiten. Ein Forscher schrieb, dass Bedrohungsakteure wahrscheinlich residenzielle IP-Adressen nutzen möchten, um auf virtuelle private Netzwerke von Unternehmen und E-Mails zuzugreifen. Viele dieser Aktivitäten seien illegal.
Die veröffentlichte Exploit-Kette war Teil eines Konzeptnachweises, den der erste Forscher bei der Einreichung eines Fehlerberichts an Plex included hatte. Der komplexe Code führt eine Reihe von Schritten aus, darunter einen nicht authentifizierten serverseitigen Anfragefälschungsangriff, eine Umleitung über eine Rückkopplungsschleife, den Diebstahl eines Sicherheitstokens, die Zustellung der Nutzlast und schließlich deren Ausführung. Der Finder des Fehlers gab an, künstliche Intelligenz intensiv zur Entwicklung dieser Angriffskette verwendet zu haben. Es handelte sich nicht darum, einem großen Sprachmodell einfach den Befehl zum Hacken zu geben, sondern erforderte stundenlange iterative Arbeit, Sackgassen und Neupriorisierungen. Alle Entscheidungen darüber, wonach gesucht werden musste und was Priorität hatte, traf der Forscher selbst. Das große Sprachmodell beschleunigte diesen Prozess erheblich und ermöglichte es, auf einer höheren Ebene zu bleiben und den Prozess lediglich zu lenken.
Vertreter von Plex reagierten nicht umgehend auf Anfragen. Alle Nutzer sollten sicherstellen, dass sie die Version 1.43.3 verwenden. Die Software kann so konfiguriert werden, dass Updates automatisch installiert werden, oder Benutzer können diese manuell herunterladen und installieren. Angesichts der aktiven Ausnutzung sollten veraltete Versionen sofort aktualisiert werden. Darüber hinaus sollten Nutzer Sorgfalt darauf verwenden, ihre Medienserver ordnungsgemäß zu sichern. Die sicherste Option besteht darin, den Zugriff auf lokale Netzwerke zu beschränken und keine Exposition gegenüber dem Internet zuzulassen. Diese Option verhindert jedoch die Nutzung vieler nützlicher Funktionen. Eine Alternative beim Verbinden eines Geräts mit dem offenen Internet besteht darin, den Datenverkehr über einen Reverse-Proxy zu leiten, anstatt den Standardport 32400 zu verwenden. Nutzer sollten zudem nur sichere Anwendungen verwenden und starke Passwörter nutzen.