Community Trust ScoreVérifié
Les chercheurs en sécurité ont observé une campagne d’attaques active et ciblée, surnommée Plex2Shell, qui cible spécifiquement les installations de Plex Media Server pour installer des mineurs de cryptomonnaie XMRig non autorisés et un backdoor proxy Linux. Cette technique repose sur une chaîne de quatre vulnérabilités spécifiques qui, lorsqu’elles sont combinées dans une séquence, permettent aux attaquants d’obtenir une exécution de code à distance sur les systèmes affectés. Ce développement représente un changement dans les tactiques de cryptojacking, passant au-delà des attaques directes sur les exchanges et les portefeuilles numériques pour compromettre plutôt l’infrastructure multimédia des consommateurs et des petites entreprises.
Pourquoi c’est important
La transition du cryptojacking des cibles financières à forte valeur vers les serveurs multimédia domestiques et des petites entreprises indique que les attaquants exploitent des logiciels grand public largement déployés pour construire des réseaux de minage distribués. En utilisant une chaîne de vulnérabilités, les acteurs menaçants peuvent transformer du matériel multimédia légitime en rigs de minage non autorisés tout en maintenant un accès persistant via des backdoors.
Quatre vulnérabilités permettent l’accès à distance
La technique Plex2Shell implique le lien stratégique de plusieurs faiblesses trouvées au sein du logiciel Plex Media Server. Dans certaines conditions spécifiques, ces quatre vulnérabilités peuvent être enchaînées pour accorder à un attaquant des capacités complètes d’exécution de code à distance. Une fois cet accès initial sécurisé, les acteurs malveillants procèdent à l’installation de XMRig, qui est un outil de minage de cryptomonnaie, ainsi que de logiciels supplémentaires qui fonctionnent comme un proxy inversé ou un backdoor. Ce backdoor est crucial car il permet aux attaquants de maintenir un accès persistant au système Linux compromis, assurant qu’ils restent à l’intérieur même si la vulnérabilité initiale est corrigée à une date ultérieure.
XMRig est largement reconnu comme une application de minage légitime et open source lorsqu’elle est utilisée avec l’autorisation explicite du propriétaire du serveur. Cependant, dans le contexte de cette exploitation spécifique, elle fonctionne entièrement sans autorisation. Sur un serveur compromis, l’outil consomme discrètement des quantités importantes de puissance de traitement et d’électricité. Cette activité est dirigée vers le minage de cryptomonnaie pour le seul bénéfice de l’attaquant, plutôt que de l’opérateur du serveur. En raison de la nature furtive du malware, l’activité de minage passe souvent inaperçue des outils de surveillance standard qui ne signalent pas spécifiquement une forte utilisation du CPU comme une menace de sécurité.
L’exploitation suit la preuve de concept publique
Les vulnérabilités ciblées dans cette campagne ont été signalées au fournisseur plus tôt dans l’année. Plex a ensuite corrigé ces failles de sécurité dans la version 1.43.3.10861 de Media Server. Selon les rapports de sécurité, les tentatives d’exploitation actives ont commencé à apparaître dans la nature après la circulation de matériel de preuve de concept public pour la chaîne d’exploitation en octobre. Cette chronologie suggère fortement que la disponibilité des détails techniques dans le domaine public a accéléré la transition d’un risque théorique à des attaques réelles et actives.
Tous les serveurs exécutant Plex Media Server ne sont pas nécessairement vulnérables à cette chaîne spécifique. Le risque principal est concentré sur les instances qui exécutent encore des logiciels affectés et non corrigés. Bien que les détails concernant les taux de réussite exacts de ces attaques restent flous, la présence d’une chaîne d’exploitation fonctionnelle indique un vecteur de menace viable pour les acteurs menaçants. L’attaque est particulièrement pertinente pour les systèmes basés sur Linux, qui sont courants dans les configurations de serveurs domestiques et les environnements de petites entreprises utilisant Plex pour le streaming multimédia.
Les opérateurs sont conseillés de vérifier les versions logicielles
Pour les opérateurs de Plex Media Server, la réponse recommandée est de vérifier la version actuellement installée du logiciel. Si la version antérieure à 1.43.3.10861, l’application des mises à jour du fournisseur est l’étape immédiate et nécessaire pour atténuer le risque. Au-delà de la correction, les opérateurs sont conseillés de passer en revue leurs systèmes à la recherche de processus inattendus ou de connexions réseau inhabituelles. Ces indicateurs peuvent aider à identifier les infections actives qui peuvent déjà s’être produites sur le système.
Le malware de minage de cryptomonnaie annonce rarement sa présence par des alertes visibles ou des messages d’erreur. Dans de nombreux cas, un serveur anormalement occupé peut être le premier indice évident d’infection. Une forte utilisation du CPU sans augmentation correspondante de l’activité utilisateur légitime ou des demandes de streaming devrait déclencher une revue de sécurité complète. Étant donné que la chaîne d’exploitation a été documentée publiquement, la fenêtre pour les attaquants de cibler les systèmes non corrigés restants est susceptible de rester ouverte. La vigilance dans la mise à jour des logiciels de serveur multimédia est essentielle pour prévenir la consommation non autorisée de ressources et la compromission potentielle du réseau.
Questions Fréquentes
Quel est le nom de la chaîne d’exploitation de Plex Media Server ?
La technique d’attaque est surnommée Plex2Shell. Elle implique une chaîne de quatre vulnérabilités qui peuvent être combinées pour atteindre l’exécution de code à distance dans certaines conditions.
Quelle version de Plex Media Server corrige les vulnérabilités ?
Les vulnérabilités ont été traitées dans la version 1.43.3.10861 de Plex Media Server. Les opérateurs sont conseillés de vérifier leur version installée et d’appliquer cette mise à jour s’ils exécutent une version antérieure affectée.
