Plex 攻擊程式碼公開翌日 未更新伺服器被接管挖礦

未更新的 Plex 伺服器被黑客接管挖礦

據保安研究網誌 BoredHackerBlog 10 月 17 日發文，作者架設的 Plex Media Server 誘餌伺服器（honeypot，即故意留下漏洞、用來記錄攻擊的伺服器）當日首次錄得真實攻擊。攻擊者毋須登入，就在伺服器上下載並執行 XMRig 加密貨幣挖礦程式，其後再部署一個名為 myawesomeproxy 的代理程式。

Plex Media Server 是很多人放在家中電腦或 NAS 上的影音伺服器，用來把自己的電影和劇集串流到電視及手機。作者警告，Plex 伺服器多數用住宅網絡的 IP 地址，黑客會「很樂意」用這類住宅 IP 作代理，去登入企業 VPN 和電郵。

攻擊程式碼公開翌日已被利用

據 SecurityOnline 10 月 19 日報道，研究員 Zach Main 在 10 月 16 日公開名為 Plex2Shell 的完整技術細節，並在 GitHub 發布概念驗證程式碼（PoC，即示範漏洞可被利用的程式），翌日攻擊者已經用上。Plex2Shell 把四個漏洞串連起來，先騙取伺服器擁有人的管理員憑證，再以 Plex 服務帳戶身份執行指令。

伺服器端請求偽造指誘使伺服器代攻擊者向其他位址發出請求。SecurityOnline 指出，四個漏洞單獨評分都不算最高級別，但串連後毋須任何有效登入。

Plex 9 月已推出修補版本

據 Plex 官方論壇 9 月 1 日發出的通告，Plex 已推出 Plex Media Server 1.43.3 和 Plex Desktop 1.115.0，修補多項保安問題，建議所有伺服器擁有人盡快更新，1.43.2 或更早版本都受影響。通告提醒，NAS 的套件管理員未必即時提供新版本，用戶可以手動安裝。

據 SecurityOnline 報道，四個漏洞在 1.43.3.10861 版本修正。Zach Main 在 7 月已向 Plex 報告漏洞，Plex 在公開披露前幾星期已完成修補，但很多家用伺服器不會自動更新。截至報道時，美國網絡安全及基礎設施安全局（CISA）未把這些漏洞列入已知被利用漏洞目錄。

伺服器擁有人應做的事

SecurityOnline 建議的處理方法：

• 把 Plex Media Server 更新至 1.43.3.10861 或更新版本
• 不要把 32400 端口直接開放到互聯網
• 檢查電腦有沒有不明的 Docker 容器、挖礦或代理程式
• 封鎖報道列出的攻擊來源 IP 地址

BoredHackerBlog 作者形容，這次「只是挖礦程式」，對受害者影響不算大，但不排除黑客之後會部署更複雜的工具。修補版本已推出七星期，攻擊者只等了一日。

來源

• Important Security Update for Plex Media Server v1.43.2 and earlier（Plex 官方通告）
• Plex vulnerabilities being exploited in the wild to drop a cryptominer（BoredHackerBlog）
• Plex2Shell Exploited in the Wild: PoC Released for Unauthenticated Plex Media Server RCE Chain（SecurityOnline）