Si tienes Plex instalado en casa, ya sea en un NAS, un mini PC o directamente en tu ordenador, mucho ojo con esto. Y es que varios fallos de seguridad de Plex Media Server están siendo aprovechados por los hackers para instalar malware en servidores que todavía no se han actualizado. Lo peor es que los ataques ya se están produciendo.
Como seguramente recordaréis, a principios de septiembre ya os contamos en AVPasión que Plex había lanzado una actualización para solucionar varias vulnerabilidades. En aquel momento todavía no conocíamos demasiados detalles y la compañía se limitaba a recomendar que todo el mundo instalase la nueva versión cuanto antes.
Pues bien, ahora sabemos bastante más. Según ha publicado Ars Technica, los atacantes ya han conseguido aprovechar estos fallos para ejecutar programas maliciosos, incluyendo herramientas para minar criptomonedas y utilizar la conexión a Internet de otras personas.
Plex2Shell: cuatro vulnerabilidades que permiten controlar el servidor a distancia
Todo gira alrededor de Plex2Shell, el nombre que ha recibido una cadena de cuatro vulnerabilidades descubiertas por el investigador de seguridad Zach Main. Lo curioso es que, aunque los fallos se notificaron a Plex el pasado 27 de julio y fueron corregidos en agosto, los detalles técnicos no se hicieron públicos hasta el 16 de octubre.
Y aquí viene lo importante. Los cuatro fallos pueden combinarse para ejecutar código de forma remota sin necesidad de conocer la contraseña del usuario. Dicho de otra manera, un atacante puede aprovecharlos para introducir y ejecutar sus propios programas en un servidor vulnerable al que consiga acceder desde Internet.
El ataque combina varios problemas de seguridad que permiten realizar peticiones internas al servidor, acceder a funciones que deberían estar protegidas, obtener un token de administrador y acabar cargando archivos maliciosos. De hecho, una de las vulnerabilidades tiene una puntuación de gravedad de 8,6 sobre 10. El código que demuestra cómo funciona esta cadena de fallos ya está disponible públicamente.
Los hackers están instalando mineros de criptomonedas y utilizando conexiones ajenas
Lo más preocupante llegó apenas un día después de publicarse esos detalles. El 17 de octubre, un investigador conocido como BoredHackerBlog detectó ataques reales contra un servidor Plex vulnerable que había preparado precisamente para vigilar este tipo de actividad.
En los registros pudo comprobar cómo los atacantes descargaban e instalaban un programa de minería basado en XMRig. Este tipo de malware aprovecha la potencia del procesador para generar criptomonedas destinadas a los atacantes. Y claro, todo ese trabajo se realiza utilizando los recursos del equipo infectado.
Pero la cosa no termina ahí. También apareció un programa llamado myawesomeproxy, que permite utilizar la conexión a Internet del servidor como intermediaria para el tráfico de terceros. Es decir, los atacantes pueden hacer pasar conexiones por la IP de la víctima. La propia Plex ya ha confirmado que estos fallos se están explotando de forma activa y generalizada contra servidores sin actualizar.
Qué versión de Plex necesitas y cómo saber si tu servidor está afectado
Por suerte, Plex ya había corregido estas vulnerabilidades antes de que comenzaran los ataques conocidos. La versión que necesitas es Plex Media Server 1.43.3.10861 o cualquier otra posterior. Si utilizas una anterior y tienes el servidor accesible desde Internet, la compañía advierte de que podría estar comprometido.
Para comprobarlo, basta con entrar en Plex Web y dirigirse a Ajustes > General, donde aparece la versión instalada. También puedes descargar la actualización desde la web oficial de Plex. Si utilizas un NAS y todavía no aparece en su tienda de aplicaciones, Plex permite instalar manualmente el paquete correspondiente.
Además, la compañía recomienda comprobar si existen procesos desconocidos, un consumo elevado de CPU sin estar reproduciendo nada o archivos sospechosos en la carpeta Codecs. Si encuentras indicios de infección, actualizar por sí solo no elimina necesariamente el malware: Plex recomienda reinstalar el servidor desde cero, cerrar las sesiones abiertas y cambiar la contraseña. Y si no necesitas acceder a tu biblioteca desde fuera de casa, también puedes desactivar el acceso remoto.
