התראעה: עדכנו את שרת Plex שלכם לפני שיתקפו אותו

הפרטים החדשים אפשרו למחקרן אחר ליצור מלכודת דבש שיכלה לעקוב אחרי ניסיונות לנצל את שרשרת הפגמים. תוך יום, המחקרן החל לראות סריקה פעילה של השרת המדומה ומאוחר יותר הצליחו לתקוף ולהדביק מכשירים. עד כה, ההתקפות המוצלחות מתקינות שני payloads. אחד הוא כור קריפטו שמשתמש במכשיר לכריית מטבעות קריפטו והמטבע מופקד בארנק נשלט על ידי התוקף. השני הוא תוכנת פרוקסי מגורים שמאפשרת למשתמשים להסתיר את פעילות האינטרנט שלהם (רובה מהפעילות היא בלתי חוקית) על ידי חיבור למכשיר המודבק ולהעביר את תעבורת המשתמש ליעד הסופי.

"Plex עשוי להיות מאוחסן ב-IP מגורים [שגוי] ולחשוב שגורמי האיום ישמחו לקבל IP מגורים כדי לגשת ל-VPNs ולתיבות דואר של חברות", כתב המחקרן השני.

שרשרת הפגמים הפורסמה הייתה חלק מהתקיפה מושגית שמחקרן הראשון כללה בעת הגשת דיווח באג ל-Plex. הקוד המורכב מבצע סדרה של שלבים, כולל ביצוע SSRF לא מאומת, פיבוט חזרה, גניבת טוקן אבטחה, שליחת payload, והרצה של payload. החוקר אמר שהוא השתמש ב-AI "במידה רבה" כדי לפתח את שרשרת הפגמים.

"זה לא היה עניין של לומר ל-LLM 'תגנוב את Plex'," כתב המחקרן. "זה היה שעות של עבודה איטרטיבית, סתימות, והחזרת עדיפויות. כל החלטות על מה לחפש ומה להעדיף היו שלי. ה-LLM האיץ את התהליך משמעותית, מה שאפשר לי להישאר ברמה גבוהה יותר ולהדריך את התהליך."

נציגי Plex לא השיבו לשאלות.

כל מי שמשתמש ב-Plex צריך לוודא שהוא פועל בגרסה 1.43.3. התוכנה יכולה להיות מוגדרת לעדכונים אוטומטיים, או ניתן להוריד ולהתקין עדכונים ידנית. בהתחשב בהתקפות הפעילות, גרסאות ישנות צריכות להתעדכן מיידית. מעבר לכך, על המשתמשים להקפיד על אבטחת שרתי המדיה. האפשרות הבטוחה ביותר היא להגביל את הגישה לרשתות מקומיות ללא חשיפה לאינטרנט. אפשרות זו מונעת שימוש בחלק מהתכונות השימושיות. אפשרות אחרת היא להעביר תעבורה דרך פרוקסי הפוך במקום להשתמש בפורט ברירת המחדל 32400. כמו כן, השתמשו רק באפליקציות Plex מאובטחות, וסיסמאות חזקות הן חובה.