Злоумышленники эксплуатируют цепочку уязвимостей Plex2Shell для установки криптомайнеров и прокси-бэкдора на Linux

Исследователь, публикующийся под псевдонимом boredhackerblog, сообщил, что всего через день после обнародования proof-of-concept (PoC) эксплуатация уязвимостей Plex Media Server была зафиксирована в реальных атаках. Злоумышленники используют цепочку из четырёх различных уязвимостей, которая получила общее название Plex2Shell. Цель атак — развёртывание на скомпрометированных хостах программ для майнинга криптовалют и обратного прокси-сервера. Этот случай иллюстрирует классическую динамику современного ландшафта угроз: публикация PoC резко сокращает окно между раскрытием уязвимостей и началом их активной эксплуатации. Для владельцев медиасерверов, доступных из интернета, это означает, что промедление с обновлением фактически равносильно компрометации.

Подробности

Цепочка Plex2Shell объединяет четыре уязвимости, которые эксплуатируются последовательно — от получения первоначального доступа до выполнения кода на целевой системе, что и отражено в названии (Plex to Shell). По данным исследователя, активность эксплуатации была зафиксирована уже на следующий день после публикации PoC. В качестве полезной нагрузки после успешного взлома злоумышленники развёртывают два типа программного обеспечения: майнеры криптовалют, использующие вычислительные ресурсы захваченного сервера, и обратный прокси-сервер. Второй компонент особенно опасен: он позволяет злоумышленникам сохранять скрытый доступ к скомпрометированному хосту и может превращать взломанные машины в элементы сети, используемой для перенаправления трафика или маскировки других атак. Атаки нацелены на Linux-системы, на которых развёрнут Plex Media Server. Характер полезной нагрузки — криптомайнеры и прокси-бэкдор — типичен для кампаний, ориентированных на интернет-доступные серверы: такие хосты обладают достаточными вычислительными ресурсами для майнинга и одновременно могут служить устойчивой инфраструктурой для дальнейшей противоправной деятельности. На момент публикации исходного материала конкретные идентификаторы CVE, затронутые версии Plex Media Server и точный перечень эксплуатируемых уязвимостей в цепочке не раскрывались. Тем не менее сам факт публикации PoC и немедленного начала его использования в атаках делает ситуацию критичной для всех, кто эксплуатирует Plex Media Server с доступом из интернета.

Что делать

В первую очередь необходимо проверить, доступна ли ваша инсталляция Plex Media Server из интернета. Если да — это основной фактор риска, и его следует устранить: ограничьте доступ к серверу доверенными сетями или организуйте подключение через VPN. Далее: - Отслеживайте официальные релизы Plex и как можно быстрее устанавливайте обновления, закрывающие уязвимости. Учитывая наличие публичного PoC, обновление следует считать приоритетным, а не плановым. - Проведите аудит скомпрометированных, по вашим подозрениям, хостов: ищите признаки работы майнеров (аномальная загрузка CPU, неизвестные процессы, потребление электроэнергии) и посторонние прокси-процессы, а также несанкционированные изменения в конфигурации и автозапуске. - Ограничьте исходящие сетевые соединения с сервера: блокировка подключений к пулам майнинга и неизвестным внешним адресам усложнит закрепление злоумышленников в инфраструктуре. - При обнаружении компрометации не ограничивайтесь удалением вредоносных файлов: проведите полную проверку хоста, смените учётные данные и при необходимости переустановите систему. - Включите централизованный сбор журналов и мониторинг аномалий — раннее обнаружение обратного прокси и майнера существенно сокращает ущерб. Итог: публикация PoC для Plex2Shell сделала эксплуатацию уязвимостей вопросом часов, а не недель. Единственная надёжная мера — оперативное обновление Plex Media Server и отказ от прямого доступа к нему из интернета.

Источник: The Hacker News