Plex закликав оновити сервери через активні кібератаки

Plex повідомив про масштабні атаки на доступні з інтернету сервери Plex Media Server зі старими версіями програмного забезпечення. Уразливості дозволяють віддаленому зловмиснику без автентифікації виконувати код із правами процесу Plex Media Server. Компанія закликала власників таких серверів негайно встановити версію 1.43.3.10861 або новішу.

Як використовують скомпрометовані сервери

Як повідомляє TechSpot, скомпрометовані сервери використовували для запуску майнерів криптовалют і проксі-програм. Останні можуть переспрямовувати через інтернет-з’єднання жертви чужий мережевий трафік.

У Plex зазначили, що проблеми безпеки можна поєднати в ланцюжок атак для віддаленого запуску коду без входу до облікового запису. Версії Plex Media Server 1.43.3.10861 і новіші не зазнають впливу цих уразливостей. Публічний доказ можливості експлуатації проблеми оприлюднили 16 жовтня, після чого компанія зафіксувала поширені атаки на сервери, відкриті для доступу з інтернету та не оновлені вчасно.

Ознаки можливого зламу

Plex радить перевірити сервер на наявність невідомих процесів, запущених від імені Plex Media Server, зокрема з назвами myawesomeproxy, mylovelyminer або x12345. Іншими ознаками можуть бути незнайомі файли з розширеннями .so чи .dll у теці Plex Codecs, з’єднання з proxystream.st або постійне високе навантаження на процесор, коли відтворення медіа не виконується.

Якщо сервер міг бути скомпрометований, компанія рекомендує перевстановити його з чистої інсталяції, а не використовувати старий каталог даних Plex. Також слід вийти з облікового запису на всіх пристроях, змінити пароль і вважати потенційно доступними дані, до яких мав доступ обліковий запис служби Plex, зокрема змонтовані мережеві ресурси та збережені облікові дані. Користувачам, яким не потрібен віддалений доступ, радять вимкнути його та не переадресовувати порт 32400 без потреби.