هکرها در حال بهره‌برداری از نقص‌های امنیتی در Plex Media Server برای نصب بدافزارهای استخراج رمز ارز (Cryptominer) هستند. گزارش‌های اخیر نشان می‌دهد که حملات موفقیت‌آمیزی علیه سیستم‌های نمونه (Honeypot) در تاریخ ۱۷ اکتبر ۲۰۲۶ ثبت شده است.
جزئیات اکسپلویت Plex2Shell
این فعالیت‌ها پس از انتشار اکسپلویت عمومی Plex2Shell آغاز شده است؛ زنجیره‌ای از چهار آسیب‌پذیری که به مهاجم اجازه می‌دهد بدون نیاز به ورود به سیستم (Login)، کد مخرب را اجرا کند. این زنجیره شامل مراحل زیر است:
- SSRF (Server-Side Request Forgery): فریب دادن سرور برای ارسال درخواست‌های انتخابی مهاجم.
- دسترسی به توابع داخلی: رسیدن به درخواست‌های مجاز مالک سیستم.
- نوشتن فایل: ایجاد فایل در مسیرهای انتخابی مهاجم.
- اجرای کد: سوءاستفاده از بارگذاری یک کدک (Codec) بدون امضا برای اجرای نهایی کد.
آسیب‌پذیری‌های شناسایی شده شامل CVE-2026-96652، CVE-2026-96654، CVE-2026-96655 و CVE-2026-96656 هستند.
بدافزار و فعالیت‌های Proxy
تحقیقات نشان داده است که پس از نفوذ، بدافزار استخراج رمز ارز XMRig روی سیستم‌های هدف (به‌ویژه در محیط‌های Docker و Linux) نصب می‌شود. علاوه بر این، فعالیت‌هایی مربوط به یک نرم‌افزار پروکسی با نام myawesomeproxy مشاهده شده است که نشان‌دهنده تلاش مهاجمان برای استفاده از پهنای باند اینترنت قربانی جهت فعالیت‌های دیگر است. این مشاهدات نگرانی‌هایی را در مورد سوءاستفاده از دستگاه‌های قربانی به عنوان پروکسی ایجاد کرده است.
اقدامات اصلاحی و توصیه‌ها
مدیران سیستم و متخصصان امنیت باید فوراً اقدامات زیر را انجام دهند:
- به‌روزرسانی فوری: استفاده از نسخه‌های Plex Media Server 1.43.3.10861 یا بالاتر.
- بررسی سیستم‌های NAS و Docker: کاربران دستگاه‌های ذخیره‌سازی شبکه (NAS) باید به‌روزرسانی‌ها را به‌صورت دستی بررسی و نصب کنند.
- مانیتورینگ فرآیندها: در سیستم‌های Linux، از دستور
ps axjfبرای بررسی وجود فرآیندهای مشکوک، دانلودهای غیرعادی یا فرزندان (Child Processes) نامتعارف استفاده کنید.
