Злоумышленники начали использовать цепочку уязвимостей в Plex Media Server для развертывания майнеров криптовалют и программного обеспечения обратного прокси через день после публикации proof-of-concept (PoC). По словам исследователя под псевдонимом boredhackerblog, эксплуатация включает в себя объединение четырех различных уязвимостей, получивших общее название Plex2Shell. Уязвимости можно комбинировать в определенном порядке для достижения удаленного выполнения кода без аутентификации на уязвимых экземплярах Plex Media Server. Уязвимости, наряду с CVE-2026-96651 (оценка CVSS: 7.1), были раскрыты Plex 27 июля 2026 года исследователем безопасности Заком Мэйном и устранены в Plex Media Server 1.43.3.10861, выпущенном 3 августа 2026 года. Попытки эксплуатации уязвимостей в реальных условиях были зафиксированы через день после публикации технических деталей цепочки Plex2Shell 16 октября 2026 года. Атаки привели к развертыванию майнера с удаленного сервера (“217.60.194[.]116”). Кроме того, уязвимости использовались для доставки артефакта под названием “myawesomeproxy”, который, по данным VirusTotal, является скрытым бэкдором и обратным прокси для Linux. Запуск программы отображает следующее сообщение, согласно boredhackerblog: “Запуск этого программного обеспечения на любом из ваших устройств означает согласие с потенциальным внешним использованием вашего интернет-трафика”. Одновременно развернут процесс майнера XMRig под названием “mylovelyminer” с сервером майнинга, указывающим на “ota.proxystream[.]st“. Примечательно, что другой поддомен, связанный с тем же доменом, “global.relay.proxystream[.]st“, был отмечен Bitsight в августе 2026 года в связи с DDoS-атаками и ботнетом AISURU, занимающимся проксированием. Посты на Reddit указывают на то, что экземпляры нескольких пользователей Plex были скомпрометированы с использованием того же майнера “mylovelyminer”. Однако на данном этапе неизвестно, связано ли это с эксплуатацией уязвимостей Plex2Shell. Это произошло более чем через месяц после того, как Plex настоятельно рекомендовал пользователям обновить свои экземпляры до последней версии после выпуска обновления, устраняющего несколько неуказанных уязвимостей безопасности. Неясно, входили ли упомянутые уязвимости в этот список. The Hacker News связался с Plex для получения комментариев и обновит статью при получении ответа. В связи с активной эксплуатацией пользователям рекомендуется обновлять свои установки Plex до последней версии для оптимальной защиты.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
