Plex
Servidores Plex desatualizados estão a ser atacados para minerar criptomoedas: que versão tens de instalar
Quatro falhas do Plex Media Server, encadeadas num ataque chamado Plex2Shell, deixam correr código no computador ou no NAS onde guardas os teus filmes. Os ataques começaram um dia depois de o método ser publicado e a agência americana de cibersegurança já pediu correção urgente.
Se usas o Plex para veres os teus filmes e séries fora de casa, confirma hoje a versão do servidor. Quatro falhas no Plex Media Server, que juntas formam um ataque a que o investigador que as descobriu chamou Plex2Shell, estão a ser exploradas para tomar conta de servidores expostos na internet. A agência americana de cibersegurança, a CISA, acrescentou-as a 20 de outubro ao catálogo de vulnerabilidades com ataques confirmados, segundo o BleepingComputer. A correção existe há semanas: o problema está nos servidores que nunca foram atualizados.
Como funciona o ataque
O Plex Media Server é o programa que corre no PC, no NAS ou num servidor caseiro e que organiza e transmite a tua coleção de vídeo, música e fotografias. Para funcionar fora de casa, muita gente deixa a porta 32400 aberta para a internet, como explica o investigador Zach Main no blogue onde publicou a análise. É por aí que entra o ataque.
Cada falha, sozinha, tem gravidade média ou alta. Encadeadas, permitem a alguém na internet, sem conta nem palavra-passe, obter a chave de administrador do dono do servidor e, a partir daí, gravar e executar código no aparelho. O investigador dá à cadeia completa uma nota de 9,8 em 10. Segundo a cronologia que publicou, comunicou o problema à Plex a 27 de julho, a empresa respondeu a 4 de agosto e os detalhes técnicos, com o código de demonstração, ficaram públicos a 16 de outubro.
A Plex já tinha avisado os clientes por email e no fórum a 1 de setembro, sem dizer o que estava em causa, e pedido que atualizassem para a versão 1.43.3 ou mais recente. Mesmo assim, poucos dias depois a organização Shadowserver contava mais de 36 mil servidores visíveis na internet ainda por corrigir, de acordo com o BleepingComputer.
O que os atacantes estão a fazer
Um investigador que mantinha um servidor Plex vulnerável como isco registou o primeiro ataque logo na manhã de 17 de outubro, um dia depois da divulgação. Os atacantes instalaram o XMRig, um programa que usa o processador da vítima para minerar criptomoedas, e um segundo programa que transforma o aparelho num proxy, ou seja, revende a tua ligação à internet a terceiros. O código corre com as permissões do utilizador do Plex, o que já dá acesso aos ficheiros do servidor.
O que deves fazer
- Abre a gestão do servidor e confirma a versão. Segundo o registo oficial das falhas, as versões anteriores à 1.43.3.10861 estão afetadas.
- Se tens as atualizações automáticas ligadas no Windows ou no Mac, confirma na mesma que já estás numa versão igual ou superior.
- Num NAS (Synology, QNAP, WD e outros), a Plex avisa que a loja de apps do fabricante pode demorar a receber a atualização. Nesse caso, descarrega o pacote na página de transferências da Plex e instala-o à mão.
- Se não precisas de ver os teus vídeos fora de casa, fecha a porta 32400 no router.
Se o servidor esteve desatualizado e exposto depois de 16 de outubro, desconfia de um processador sempre ocupado ou de tráfego de rede fora do normal. O investigador publicou no GitHub regras para detetar o ataque, e a CISA deu às agências federais americanas até 3 de novembro para corrigirem todas as falhas.
