Ty masz smart home, przestępcy się na tobie bogacą. Zmień to natychmiast

Twój Plex zwolnił i zaczął wyć? Ktoś może właśnie kopać kryptowaluty na twoim serwerze.

Jeżeli kilka dni temu spojrzeliście na swojego NAS-a, mini-PC lub domowy serwer Plexa i zdziwiło was, iż wentylatory pracują jak podczas renderowania filmu 8K, to niekoniecznie jest to wina nowego kodeka czy źle przygotowanej biblioteki multimediów.

Badacze bezpieczeństwa potwierdzili, iż luka określana jako Plex2Shell jest już aktywnie wykorzystywana przez atakujących. Celem są niezałatane serwery Plex Media Server wystawione do Internetu. Po skutecznym przejęciu urządzenia cyberprzestępcy instalują na nim między innymi koparki kryptowalut oraz oprogramowanie zamieniające komputer ofiary w serwer pośredniczący dla cudzego ruchu sieciowego.

To jeden z tych incydentów, który bardzo dobrze pokazuje różnicę między „luka została załatana” a „problem został rozwiązany”. Producent naprawił błąd już wcześniej. Problem polega na tym, iż tysiące użytkowników najwyraźniej nie zainstalowało aktualizacji.

Cztery błędy, jedno przejęcie serwera

Historia zaczęła się od ujawnienia zestawu podatności w Plex Media Server. Łańcuch ataku wykorzystuje cztery różne luki bezpieczeństwa oznaczone jako CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 oraz CVE-2026-96656. Połączone razem pozwalają na zdalne wykonanie kodu bez konieczności posiadania konta czy logowania się do serwera.

Badacz Zach Main opublikował szczegóły techniczne ataku oraz działający kod demonstracyjny. Powstały w ten sposób exploit otrzymał nazwę Plex2Shell. Według opisu wykorzystuje on serię kroków obejmujących między innymi SSRF, przejęcie tokenów bezpieczeństwa, dostarczenie złośliwego ładunku i jego uruchomienie na podatnym urządzeniu.

Brzmi skomplikowanie i w rzeczywistości takie właśnie jest. Problem polega jednak na tym, iż gdy pełny exploit trafia do Internetu to przestępcy nie muszą już sami wykonywać skomplikowanych badań. Ktoś inny zrobił to za nich.

Ataki pojawiły się niemal natychmiast

Według relacji badaczy zajmujących się monitorowaniem zagrożeń, aktywne próby wykorzystania Plex2Shell pojawiły się już dzień po opublikowaniu technicznych informacji o podatności. Szczególnie interesujące są obserwacje pochodzące z tzw. honeypota, czyli specjalnie przygotowanego, podatnego serwera wystawionego do Internetu wyłącznie po to, aby obserwować działania napastników. Badacz prowadzący taki system początkowo widział jedynie skanowanie i rekonesans. Sytuacja zmieniła się 17 października, gdy odnotowano pierwsze skuteczne włamania wykorzystujące nowy łańcuch podatności.

Dla cyberprzestępców to idealny cel. Plex jest niezwykle popularny wśród zaawansowanych użytkowników. Często działa na serwerach NAS pracujących 24 godziny na dobę, dysponuje stałym połączeniem internetowym i z reguły ma do dyspozycji więcej mocy obliczeniowej niż typowy router czy urządzenie IoT. To dokładnie ten rodzaj sprzętu, który przestępcy lubią przejmować.

Plex Media Server

Pierwszym wykrytym ładunkiem instalowanym przez atakujących była koparka kryptowalut. To stosunkowo prosty i dobrze znany schemat działania. Przejęty komputer wykorzystuje swoją moc obliczeniową do generowania kryptowalut, które trafiają do portfela kontrolowanego przez napastników. Dla właściciela serwera oznacza to przede wszystkim wyższe zużycie energii, większe temperatury, głośniejszą pracę wentylatorów i zauważalne spadki wydajności.

W przypadku Plexa problem może być szczególnie widoczny. Wiele domowych serwerów multimedialnych korzysta z energooszczędnych procesorów Intela, AMD lub układów ARM. Takie urządzenia świetnie radzą sobie ze strumieniowaniem filmów, ale dodatkowe obciążenie generowane przez koparkę potrafi gwałtownie doprowadzić je do zadyszki.

Znacznie bardziej niepokojące jest jednak odkrycie drugiego komponentu. Badacze zaobserwowali instalowanie aplikacji proxy określanej jako myawesomeproxy. Program pozwala na przekierowywanie ruchu internetowego przez przejęte urządzenie ofiary. Innymi słowy, ktoś może wykorzystywać wasze domowe łącze internetowe jako punkt wyjścia do własnej aktywności.

To scenariusz dużo bardziej problematyczny niż sama koparka. Kryptowaluty przynajmniej łatwo zauważyć po obciążeniu procesora. W przypadku serwera proxy użytkownik może przez długi czas nie mieć pojęcia, iż jego komputer bierze udział w cudzych operacjach.

Jeden z badaczy zwrócił uwagę, iż serwery Plex bardzo często działają pod adresami należącymi do zwykłych użytkowników. Takie adresy są atrakcyjne dla przestępców właśnie dlatego, iż wyglądają bardziej wiarygodnie niż infrastruktura wykorzystywana przez klasyczne centra danych.

Użytkownicy zaczynają odkrywać infekcje

Do tej pory mogłoby się wydawać, iż mówimy głównie o laboratoryjnych obserwacjach badaczy. Tymczasem pojawiają się już doniesienia od samych użytkowników. Po nagłośnieniu sprawy na Reddicie właściciele serwerów Plex zaczęli sprawdzać swoje instalacje pod kątem niepokojących procesów. Jeden z użytkowników opisał sytuację, w której szafa rackowa zaczęła pracować wyjątkowo głośno z powodu wysokiego obciążenia procesora. Późniejsza analiza wykazała obecność procesu o nazwie „mylovelyminer”, powiązanego z działalnością koparki kryptowalut.

To właśnie takie sygnały powinny zwrócić uwagę administratorów domowych serwerów. o ile Plex nagle działa wolniej, procesor bez wyraźnego powodu pracuje pod wysokim obciążeniem albo urządzenie generuje więcej ciepła niż zwykle, warto sprawdzić, czy problem nie ma źródła w bezpieczeństwie. Nie każdy spadek wydajności oznacza włamanie. Tym razem jednak istnieje bardzo konkretny powód, by zachować czujność.

W całej sprawie najbardziej uderza fakt, iż nie mamy do czynienia z podatnością typu zero-day. Plex opublikował poprawki już 1 września i zalecił użytkownikom aktualizację Plex Media Server do wersji 1.43.3. Dopiero później pojawił się szczegółowy opis techniczny oraz publiczny proof-of-concept pokazujący, jak wykorzystać odkryte błędy.

To oznacza, iż obecna fala infekcji nie jest efektem nieprzewidzianego błędu producenta. To raczej kolejny przykład zjawiska, które specjaliści ds. bezpieczeństwa obserwują od lat: ogromnej przepaści między udostępnieniem aktualizacji a jej realnym wdrożeniem przez użytkowników.

W świecie entuzjastów self-hostingu jest to szczególnie częste. Serwer stoi miesiącami w szafce, wszystko działa poprawnie, więc właściciel odkłada aktualizacje na później. Aż do momentu, gdy okazuje się, iż ktoś właśnie wykorzystał tę zwłokę.

Jeśli masz Plexa to nie odkładaj tego na weekend

Plex pozostaje jednym z najlepszych narzędzi dla osób budujących własne centrum multimedialne. Ten incydent nie zmienia tego faktu. Przypomina natomiast o czymś, o czym społeczność self-hostingu bardzo nie lubi pamiętać. Najbardziej ekscytującą częścią posiadania domowego serwera są nowe funkcje. Najważniejszą pozostają aktualizacje bezpieczeństwa.

Plex2Shell pokazuje, iż współczesne ataki coraz częściej wymierzone są nie w wielkie korporacje, ale w tysiące niewielkich, prywatnych urządzeń rozsianych po domach użytkowników na całym świecie. A domowy NAS czy mini-PC z Plexem staje się dziś pełnoprawnym serwerem internetowym, ze wszystkimi wynikającymi z tego konsekwencjami. jeżeli więc od dawna ignorowaliście komunikaty o nowych wersjach Plex Media Server to teraz jest dobry moment, by zajrzeć do panelu administracyjnego i sprawdzić numer wersji. W przeciwnym razie ktoś może już korzystać z waszego sprzętu znacznie intensywniej niż wy sami.