ИБ-исследователи уже видят массовые атаки на Plex Media Server: хакеры используют цепочку Plex2Shell, чтобы запускать код на сервере без учетных данных. На взломанных машинах они ставят майнеры и прокси-софт, а это уже не теория, а рабочая схема атаки.

Разбор этой истории полезен не только владельцам Plex. Она хорошо показывает, как быстро уязвимость из отчета превращается в реальную компрометацию — ровно так же, как в прошлых крупных инцидентах с серверным ПО, о которых мы писали в разборе атаки на GitLab и в материале про взлом php-сервисов.

1. Какую проблему решаем

Plex2Shell — это не одна ошибка, а сразу четыре уязвимости, которые вместе дают атакующему почти полный контроль над сервером. По отдельности они выглядят как SSRF, утечка токена и запись файла в нужное место, но в цепочке это превращается в удаленное выполнение кода.

Самый неприятный момент — атака не требует входа в систему. Если Plex Media Server торчит в интернет с устаревшей версией, злоумышленнику достаточно воспользоваться багами и запустить свой файл на сервере.

2. Что подготовить

Перед проверкой соберите минимум данных: версию Plex Media Server, список открытых сервисов и понимание, нужен ли вам удаленный доступ вообще. Если сервер домашний и вы смотрите контент только из локальной сети, лишние внешние подключения лучше убрать.

Понадобятся административный доступ к серверу, возможность проверить журналы и время на установку обновления. Если Plex стоит на машине с важными файлами, сделайте резервную копию конфигурации и медиатеки.

3. Пошаговые действия

Обновите Plex Media Server

Разработчики Plex советуют поставить версию не ниже 1.43.3.10861. Если у вас версия старее, считайте сервер потенциально уязвимым до обновления.

После установки обновления перезапустите службу и проверьте, что сервер стартовал без ошибок.

Отключите удаленный доступ, если он не нужен

Если вы не пользуетесь доступом извне, выключите его полностью. Это самый простой способ сократить поверхность атаки и убрать лишний входной канал.

Если удаленный доступ нужен, проверьте, действительно ли он открыт только для тех сценариев, которые вы используете.

Проверьте сервер на следы атаки

Посмотрите на подозрительные процессы, неизвестные файлы и новые библиотеки в каталогах Plex. Особое внимание — папке Codecs и любым свежим ELF-файлам или shared-библиотекам, которые вы не устанавливали вручную.

Параллельно изучите сетевую активность. Неожиданные запросы к внешним адресам, особенно в нерабочее время, — повод копать глубже.

Сверьте логи и токены

Если в логах есть странные обращения к внутренним API или попытки загрузки файлов, это уже тревожный сигнал. Отдельно проверьте, не менялись ли административные токены и параметры доступа без вашего ведома.

Уберите лишние риски вокруг домашней сети

Если Plex стоит на домашнем сервере, не держите рядом открытые админки, общие папки и старые сервисы с тем же паролем. Чем меньше доступных точек входа, тем ниже шанс, что взлом одного приложения потянет за собой остальные.

Если вам нужна дополнительная приватность при работе через гостиничный или кафе Wi‑Fi, заранее подумайте о защищенном канале для открытых сетей — особенно если на ноутбуке лежат рабочие документы и почта.

4. Как проверить себя

Проверка простая: сервер обновлен, удаленный доступ выключен или строго нужен, а в логах нет подозрительных запросов. В каталоге Plex не должно быть свежих неизвестных файлов, особенно с нетипичными именами и временем создания.

Еще один маркер — нагрузка. Если процесс Plex внезапно начал грузить CPU или сеть без видимой причины, это не обязательно атака, но повод быстро проверить машину.

5. Что делать, если не получилось

Если вы не уверены, что сервер чистый, не тяните с изоляцией. Отключите его от интернета, сохраните логи и только потом разбирайтесь дальше.

Если на сервере нашли майнер, прокси или неизвестную библиотеку, не ограничивайтесь удалением файла. Сначала обновите Plex, затем смените учетные данные, проверьте соседние устройства и только после этого возвращайте сервер в сеть.

Практический чек-лист

  • Проверить версию Plex Media Server
  • Обновить сервер до версии 1.43.3.10861 или новее
  • Отключить удаленный доступ, если он не нужен
  • Просмотреть процессы, логи и каталог Codecs
  • Проверить сеть на странные исходящие соединения
  • Сделать резервную копию настроек и медиатеки
  • Изолировать сервер, если есть признаки взлома
  • Использовать защищенный канал для открытых Wi‑Fi вне дома
Поделиться: