SecAtor

Злоумышленники приступили к атакам на Plex2Shell, цепочку из четырех уязвимостей Plex Media Server, буквально спустя день после того, как стали доступны технические подробности и рабочий PoC. CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 позволяют в совокупности запускать произвольный код на открытом сервере без действительных учетных данных. Код запускается с теми же привилегиями, что и служба Plex. 27 июля Plex увесили о проблемах, компания подтвердила их и 4 августа назначила вознаграждение за обнаружение ошибки. 1 сентября Plex объявила о выпуске исправления, попросив пользователей обновиться. Исследователь, обнаруживший Plex2Shell, представил описание и PoC 16 октября, а другой задетектил атаку, создав доступную из интернета ловушку Plex с уязвимой версией вредоносного ПО. Причем до 17 октября эта ловушка в основном привлекала внимание с помощью разведывательных сканирований и общих попыток атак. По словам исследователя, злоумышленники использовали общедоступную уязвимость, хотя, возможно, и внесли изменения в код. Атакующие установили майнер криптовалюты, созданный на платформе XMRig. Позже в тот же день на ловушке появилась вторая программа под названием myawesomeproxy. Исследователь идентифицировал её как прокси-программу: она отображает уведомление о том, что любой, кто её запускает, соглашается на потенциальное использование своего интернет-трафика. Возможно, Plex размещается на домашнем IP, и по всей видимости, злоумышленники с удовольствием использовали бы этот домашний адрес в качестве прокси для доступа к корпоративным VPN и электронной почте, как полагает исследователь. Он предупредил, что опубликованные IOCs охватывают только лишь ту активность, которая наблюдалась на ханипоте. В своем сентябрьском уведомлении кстати Plex рекомендовала всем владельцам серверов незамедлительно установить последнюю версию.