Уязвимости в сервере Plex активно эксплуатируются для установки вредоносного программного обеспечения

person holding black android smartphone — Unsplash

Недавно исправленные уязвимости в сервере Plex Media Server подвергаются активной эксплуатации в ходе кибератак, которые при успешном завершении приводят к установке вредоносного программного обеспечения, включая программы для майнинга криптовалют и приложения для создания резидентных прокси-серверов. Об этом сообщил исследователь в области кибербезопасности.

Компания Plex устранила четыре уязвимости в начале прошлого месяца. Спустя три недели опубликованные обозначения CVE раскрыли наличие пяти уязвимостей, одна из которых получила оценку серьезности 8,6 балла из 10 возможных. На прошлой неделе исследователь представил эксплойт, который объединяет четыре из этих уязвимостей в цепочку для достижения удаленного выполнения кода на устройстве, работающем под управлением уязвимой версии программного обеспечения Plex. Исследователь назвал эту цепочку атак «Plex2Shell».

Новые детали позволили другому исследователю создать ловушку для отслеживания попыток эксплуатации данной цепочки уязвимостей в реальных условиях. В течение одного дня исследователь начал фиксировать активное сканирование симулированного сервера Plex и впоследствии зафиксировал успешные попытки заражения устройств. На данный момент успешные атаки приводят к установке двух типов полезной нагрузки. Первой является программа для майнинга криптовалют, которая использует вычислительные ресурсы устройства для добычи цифровой валюты и перевода ее на кошелек, контролируемый злоумышленником. Второй полезной нагрузкой является программное обеспечение для резидентных прокси-серверов, позволяющее пользователям анонимизировать свою интернет-активность, значительная часть которой может быть незаконной, путем подключения к зараженному устройству и использования его для перенаправления трафика пользователя к конечному пункту назначения.

Опубликованная цепочка эксплойтов являлась частью концептуальной атаки, которую первый исследователь включил при отправке отчета об ошибке компании Plex. Сложный код выполняет серию шагов, включая выполнение неаутентифицированной подделки запросов на стороне сервера, поворот через локальный интерфейс, кражу токена безопасности, доставку полезной нагрузки и, наконец, выполнение этой полезной нагрузки. Обнаруживший ошибку специалист заявил, что он «активно» использовал искусственный интеллект для разработки цепочки эксплойтов. Шаги включали итеративную работу, тупиковые ситуации и изменение приоритетов, при этом все решения о том, что искать и чему отдавать приоритет, принимались самим исследователем, а модель языка лишь ускорила этот процесс.

Любой пользователь сервера Plex должен убедиться, что на его устройстве установлена версия 1,43,3. Программное обеспечение можно настроить на автоматическую установку обновлений, либо пользователи могут загрузить и установить их вручную. Учитывая активную эксплуатацию уязвимостей, устаревшие версии следует обновить немедленно. Помимо этого, пользователям следует уделить внимание надлежащему обеспечению безопасности медиа-серверов. Самый безопасный вариант заключается в ограничении доступа к локальным сетям без выхода в интернет. Одним из вариантов при подключении устройства к открытому интернету является маршрутизация трафика через обратный прокси-сервер вместо использования порта по умолчанию 32400. Пользователям также следует использовать только безопасные приложения Plex и надежные пароли.