חוקר אבטחה שמפעיל שרת Plex לא מעודכן בכוונה, כמלכודת, ראה ב-17 באוקטובר מה קורה למי שלא עדכן. על השרת הותקן קודם כורה מטבעות קריפטו, ואחריו תוכנה שמוכרת את חיבור האינטרנט הביתי לגולשים זרים. יום לפני כן פורסם ברשת הסבר טכני מלא לאופן שבו פורצים לשרתי Plex, והתוקפים התחילו לסרוק מיד.

מה קרה

Plex Media Server היא תוכנה שאנשים מתקינים בבית, על מחשב או על כונן רשתי (NAS), כדי לאחסן סרטים וסדרות ולצפות בהם מכל מכשיר. בסוף יולי דיווח לחברה חוקר שחותם ZM על שרשרת של ארבע חולשות בתוכנה. אף אחת מהן לבד לא מרשימה, אבל בשילוב הן נותנות לתוקף להריץ קוד על השרת בלי להתחבר אליו ובלי סיסמה. לשרשרת הזאת קוראים Plex2Shell.

Plex תיקנה את החולשות בתחילת אוגוסט, בגרסה 1.43.3.10861, פרסמה הודעה פומבית ב-1 בספטמבר ושלחה מייל למשתמשים שנשארו מאחור. הבעיה היא שהרבה שרתים ביתיים פשוט לא עודכנו. לפי סריקות של ארגון Shadowserver, בשבת היו חשופים לאינטרנט כ-49 אלף שרתים שעדיין מריצים גרסה פגועה, מתוכם כ-25,100 בצפון אמריקה וכ-17,600 באירופה.

ב-16 באוקטובר פורסם קוד שמדגים את הפריצה, וביום שלמחרת נרשמו כבר ניסיונות ניצול בפועל. מה שהותקן על שרת המלכודת הוא כורה מטבעות, כלומר תוכנה שמעבידה את המעבד שלכם כדי לייצר מטבעות קריפטו למישהו אחר, ואחריו קובץ בשם myawesomeproxy שמנתב תעבורה של אנשים זרים דרך החיבור שלכם. ניק פרקוקו מחברת Kraken הצביע על פרט שמסבך את הניקוי: הקובץ הזדוני יושב בתיקיית ה-Codecs של Plex ורץ מחדש בכל פעם שהשרת ממיר וידאו, כך שסגירת התהליך לבדה לא פותרת כלום.

למה זה חשוב לכם

Plex פופולרי בישראל אצל מי שמחזיק ספריית מדיה בבית, ולא מעט מהשרתים האלה פתוחים לאינטרנט בדיוק כדי לאפשר צפייה מחוץ לבית. שרת כזה הוא מחשב שדולק 24 שעות ביממה ואף אחד לא מסתכל עליו, וזה מה שהופך אותו למטרה נוחה.

החלק של הפרוקסי מטריד יותר מהכרייה. כשגולש זר יוצא לאינטרנט דרך הכתובת הביתית שלכם, כל מה שהוא עושה שם נראה כאילו נעשה מהבית שלכם, כולל פעולות שעלולות להגיע אליכם בתור חסימה של שירות או תלונה. את התופעה הזאת הסברנו בהרחבה במה זה proxyware.

מה עושים?

פתחו את Plex, היכנסו להגדרות ובדקו את מספר הגרסה. כל גרסה שקודמת ל-1.43.3.10861 חשופה, וצריך לעדכן אותה היום.

אם השרת רץ על NAS, בתוך Docker או על לינוקס, העדכון האוטומטי של Plex לא יטפל בו. הוא קיים רק בווינדוס ובמק, וגם שם ברירת המחדל היא לשאול אתכם לפני ההתקנה. עדכנו ידנית דרך מנהל החבילות או בהחלפת ה-container.

אם השרת היה נגיש מהאינטרנט ולא עודכן מאוגוסט, התייחסו אליו כאל שרת שנפרץ. בדקו בתיקיית ה-Codecs קבצים שלא שייכים לשם, ואם משהו נראה חשוד התקינו את התוכנה מחדש.

מי שלא צופה מחוץ לבית יכול לכבות את הגישה המרוחקת בהגדרות ולסגור את הסיפור. שרת שלא נגיש מהאינטרנט לא נתקף בדרך הזאת.

Plex הוציאה את התיקון לפני יותר מחודשיים, ומאז שהתקיפות התחילו היא לא פרסמה הודעה חדשה. התיקון מחכה בהגדרות, וכל מה שנשאר זה ללחוץ עליו.