Une faille Plex baptisée Plex2Shell est déjà exploitée pour installer des mineurs de cryptomonnaie et un proxy inversé.

Des cybercriminels exploitent désormais une faille Plex dans Plex Media Server. En effet, les attaques ont démarré un jour seulement après la publication d’une preuve de concept (PoC). Elles visent à installer des mineurs de cryptomonnaie et un logiciel de proxy inversé. Ainsi, ce délai très court rappelle à quelle vitesse les pirates se saisissent des codes d’exploitation publics.

Plex2Shell : une chaîne de quatre vulnérabilités

Le chercheur connu sous le pseudonyme boredhackerblog est à l’origine de ces informations. Selon lui, les attaquants enchaînent quatre vulnérabilités différentes dans Plex Media Server. Cet ensemble porte donc le nom de Plex2Shell.

Le principe d’une chaîne de failles est simple. Chaque vulnérabilité, prise seule, offre parfois un gain limité. En revanche, leur combinaison permet d’aller beaucoup plus loin. Ainsi, le nom choisi suggère un objectif clair : obtenir un accès shell sur le serveur ciblé.

À ce stade, les éléments disponibles ne détaillent pas chaque vulnérabilité. En effet, les identifiants CVE et les versions précisément touchées ne figurent pas dans les informations communiquées. Il faut donc suivre de près les bulletins de l’éditeur. Par ailleurs, les équipes de sécurité devraient vérifier régulièrement les publications du chercheur.

Mineurs de cryptomonnaie et proxy inversé : les charges déployées

Les attaquants ne se contentent pas d’ouvrir une porte. Ils installent également des outils qui rapportent de l’argent ou qui prolongent leur accès. Deux types de charges ont été observés.

• Des mineurs de cryptomonnaie : ils détournent la puissance de calcul du serveur.
• Un logiciel de proxy inversé : il sert de porte dérobée sur des systèmes Linux.

Le mineur est la menace la plus visible. Il fait grimper l’usage du processeur et ralentit le serveur. De plus, il augmente la facture d’électricité de la victime.

Le proxy inversé est plus discret, mais souvent plus dangereux. En effet, il établit une connexion sortante depuis la machine compromise vers l’infrastructure des attaquants. Ainsi, les pare-feu qui bloquent les connexions entrantes ne suffisent plus. Les pirates peuvent alors revenir à volonté. Ils peuvent aussi utiliser le serveur comme relais vers d’autres systèmes du réseau.

Pourquoi cette faille Plex inquiète

Plex Media Server est très répandu chez les particuliers. Beaucoup l’installent sur un NAS, un mini-PC ou un serveur domestique sous Linux. Pourtant, ces machines sont rarement surveillées de près. De plus, certaines restent exposées sur Internet pour permettre l’accès à distance.

Cette situation crée un terrain idéal pour les attaques automatisées. En effet, un code d’exploitation public peut être intégré en quelques heures à des scripts de balayage. Par conséquent, les serveurs exposés et non mis à jour deviennent des cibles faciles. Le fait que l’exploitation ait commencé un jour après la PoC le confirme.

Par ailleurs, un serveur multimédia compromis ne reste pas toujours isolé. Il partage souvent le réseau local avec des ordinateurs, des caméras ou des sauvegardes. Un proxy inversé peut donc servir de tremplin vers ces ressources. Autrement dit, l’impact dépasse largement la simple perte de performances.

Recommandations pour les utilisateurs de Plex

Les mesures suivantes limitent le risque. Elles restent d’ailleurs valables même quand tous les détails techniques ne sont pas encore publics.

1. Mettre à jour Plex Media Server vers la dernière version disponible, dès que l’éditeur propose un correctif.
2. Limiter l’exposition du serveur : évitez de l’ouvrir directement sur Internet si ce n’est pas indispensable. Un VPN reste préférable.
3. Surveiller l’activité : une charge processeur anormalement élevée peut révéler un mineur.
4. Examiner les processus et les connexions sortantes à la recherche de programmes inconnus, notamment d’outils de proxy.
5. Isoler le serveur dans un segment réseau dédié, afin de réduire les mouvements latéraux.

Si vous soupçonnez une compromission, agissez vite. Coupez d’abord l’accès distant. Ensuite, analysez le système et supprimez les processus suspects. Enfin, envisagez une réinstallation propre, car une porte dérobée peut survivre à un nettoyage partiel. Changez également les mots de passe et les jetons associés au compte Plex.

Ce qu’il faut retenir

• La chaîne Plex2Shell combine quatre vulnérabilités de Plex Media Server.
• L’exploitation a commencé un jour après la publication d’une preuve de concept.
• Les attaquants déploient des mineurs de cryptomonnaie et un logiciel de proxy inversé.
• Les serveurs Linux exposés et non mis à jour sont donc les plus à risque.
• La mise à jour rapide et la réduction de l’exposition restent les meilleures défenses.

Source : Hackers Exploit Plex2Shell Flaws to Install Crypto Miners and Linux Proxy Backdoor