Votre serveur Plex pourrait miner de la cryptomonnaie à votre insu si vous avez zappé cette mise à jour
Un serveur multimédia allumé jour et nuit à la maison fait une cible idéale pour les pirates. Quatre failles de Plex Media Server permettent justement d’en prendre le contrôle à distance, sans la moindre authentification. Les machines non mises à jour se transforment en mineuses de cryptomonnaie.
À la maison, les appareils allumés en permanence attirent désormais les convoitises. Box, NAS, mini-PC, chacun représente de la puissance de calcul gratuite pour qui sait y entrer. Dans son dernier rapport, HP relève que les pirates détournent de plus en plus les logiciels d’accès à distance déjà installés sur les ordinateurs. Rien ne distingue alors l’intrusion d’une opération de maintenance. Personne ne remarque rien.
Dans ce paysage, Plex occupe une place particulière. Son serveur multimédia tourne chez des milliers de particuliers, souvent sur un NAS ou dans un conteneur Docker, et reste accessible depuis l’extérieur pour lire sa bibliothèque en déplacement. Partout, les équipements oubliés font les meilleures victimes. Dernier exemple en date, le groupe Fire Ant s’installe sur des routeurs Cisco et des machines Linux d’administration réseau.
Quatre failles de Plex Media Server ouvrent la porte à une prise de contrôle totale du serveur
Le 16 octobre, un chercheur connu sous le pseudonyme zmain a publié Plex2Shell, une chaîne d’exploitation bâtie sur quatre vulnérabilités du logiciel de Plex. Elle part d’une requête détournée vers le réseau interne, écrit un fichier à l’endroit voulu, puis fait charger un codec non signé. De là, l’attaquant obtient l’exécution de code sans le moindre identifiant. BoredHackerBlog a constaté dès le lendemain la compromission de son serveur piège exposé sur internet.
Sur cette machine, les intrus ont téléchargé deux fichiers avant de lancer XMRig, un mineur de Monero bien connu des équipes de sécurité. Un second programme, baptisé myawesomeproxy, revendait la connexion internet du serveur Plex à des tiers. Résultat, les performances s’effondrent et la consommation électrique grimpe. Le propriétaire ne voit rien passer. D’une attaque à l’autre, les adresses utilisées changent régulièrement.
Côté correctifs, Plex a diffusé ses mises à jour le 1er septembre et conseille la version 1.43.3 du serveur. Concrètement, les builds antérieurs à 1.43.3.10828 restent exposés, la 1.43.3.10861 referme la chaîne. Vérifier son numéro prend une minute. Sous Linux, un coup d’œil à l’arbre des processus suffit souvent à repérer un intrus. Mieux vaut le faire avant la prochaine facture d’électricité.
