Neseniai ištaisytos „Plex Media Server“ pažeidžiamumo spragos aktyviai išnaudojamos atakose, kurios sėkmingos tapusios diegia kenkėjiškas programas, įskaitant kriptovaliutų kasimo programas ir namų IP adresų tarpinių serverių (proxy) programėles, teigia tyrėjas.
„Plex“ praėjusio mėnesio pradžioje ištaisė keturias pažeidžiamumo spragas. Po trijų savaičių paskelbti CVE žymenys atskleidė penkias spragas, o vienai iš jų suteiktas 8,6 balo iš 10 galimų pavojingumo įvertinimas. Praėjusią savaitę tyrėjas atskleidė išnaudojimo metodą (exploit), kuris sujungė keturias iš šių spragų į grandinę ir leido nuotoliniu būdu vykdyti kodą įrenginyje, kuriame veikia pažeidžiama „Plex“ versija. Tyrėjas šią grandinę pavadino „Plex2Shell“.
Paaiškinimas: Nuotolinis kodo vykdymas (RCE) reiškia, kad užpuolikas gali per tinklą priversti svetimą įrenginį vykdyti jo pasirinktas komandas, todėl tokios spragos laikomos itin pavojingomis.
Sudėtinga išnaudojimo grandinė
Nauji duomenys leido kitam tyrėjui sukurti „medaus puodą“ (honeypot), kuris galėjo fiksuoti realiame pasaulyje vykdomus bandymus išnaudoti šią spragų grandinę. Per parą tyrėjas pastebėjo aktyvų imituoto „Plex“ serverio skenavimą, o vėliau ir sėkmingus bandymus užkrėsti įrenginius. Kol kas sėkmingos atakos diegia dvi kenkėjiškas programas. Viena jų – kriptovaliutų kasimo programa, kuri naudoja įrenginį kriptovaliutai kasti ir siunčia ją į užpuoliko valdomą piniginę. Kita – namų IP adresų tarpinio serverio (residential proxy) programinė įranga, leidžianti žmonėms nuslėpti savo veiklą internete (didelė jos dalis – neteisėta): jie prisijungia prie užkrėsto įrenginio, o šis nukreipia vartotojo srautą į galutinę paskirties vietą.
„Plex gali veikti namų IP adresu [sic], ir manau, kad grėsmių kūrėjai mielai turėtų namų IP tarpinį serverį, kad galėtų pasiekti įmonių VPN ir el. paštą“, – rašė antrasis tyrėjas.
Paskelbta išnaudojimo grandinė buvo koncepcijos įrodymo (proof-of-concept) atakos dalis, kurią pirmasis tyrėjas pateikė siųsdamas pranešimą apie klaidą „Plex“. Sudėtingas kodas atlieka eilę veiksmų: neautentifikuotą SSRF, grįžtamosios kilpos (loopback) pasukimą (pivot), saugumo prieigos rakto vagystę, kenkėjiškos apkrovos pristatymą ir galiausiai jos vykdymą. Spragos radėjas teigė „intensyviai“ naudojęs dirbtinį intelektą išnaudojimo grandinei sukurti. Veiksmai buvo tokie:
- Žvalgyba: suskaidyti sistemą į loginius komponentus. Susieti kiekvieną kelią nuo naudotojo įvesties iki pavojingo sprendimo taško.
- Paieška: kiekvieno komponento tikslinė pažeidžiamumų paieška.
- Patikra: paleisti atskirą agentą, kuris bandytų paneigti kiekvieną radinį. Jei klaidos paneigti nepavyksta, tikėtina, kad ji tikra.
- Grandinė: rasti
„Nebuvo taip, kad tiesiog liepiau LLM „įsilaužti į Plex““, – rašė tyrėjas. „Tai buvo valandos kartotinio darbo, aklaviečių ir prioritetų keitimo. Visus sprendimus, ko ieškoti ir ką laikyti prioritetu, priėmiau aš. LLM šį procesą gerokai paspartina, leisdamas man likti aukštesniame lygmenyje ir tiesiog vadovauti procesui.“
Paaiškinimas: LLM (didysis kalbos modelis) yra dirbtinio intelekto sistema, apmokyta naudoti didelius tekstų kiekius, todėl gali rašyti tekstą ir programinį kodą bei padėti jį analizuoti.
„Plex“ atstovai į klausimus iškart neatsakė.
Visi „Plex“ naudotojai turėtų įsitikinti, kad jų versija yra 1.43.3. Programinę įrangą galima nustatyti taip, kad atnaujinimai būtų diegiami automatiškai, arba juos galima atsisiųsti ir įdiegti rankiniu būdu. Kadangi spragos aktyviai išnaudojamos, pasenusias versijas reikia nedelsiant atnaujinti. Be to, naudotojai turėtų rūpestingai apsaugoti medijos serverius. Saugiausias variantas – apriboti prieigą tik vietiniais tinklais ir neatverti serverio internetui. Tačiau tada negalima naudotis daugeliu naudingų funkcijų. Jungiant įrenginį prie atviro interneto, vienas iš sprendimų – nukreipti srautą per atvirkštinį tarpinį serverį (reverse proxy) vietoje numatytojo 32400 prievado. Naudotojai taip pat turėtų naudoti tik saugias „Plex“ programėles. Ir, žinoma, būtini stiprūs slaptažodžiai.
