Investigadores de seguridad han observado explotación en condiciones reales de una cadena de cuatro vulnerabilidades en Plex Media Server —denominada Plex2Shell— que permite la ejecución remota sin autenticación y ha sido aprovechada para instalar un minero de criptomonedas y un backdoor que actúa como proxy inverso en sistemas Linux.
Qué es Plex2Shell y cómo se usa en los ataques
Plex2Shell reúne cuatro fallas que, encadenadas en un orden concreto, permiten a un atacante ejecutar código arbitrario en servidores Plex vulnerables. El investigador que divulgó la prueba de concepto (PoC) publicó detalles técnicos, y poco después comenzaron a registrarse intentos de explotación activa sobre instancias accesibles desde Internet.
Qué se está instalando y cómo funciona
Los atacantes están desplegando al menos dos componentes: un proceso minero de Monero (identificado con el nombre de proceso “mylovelyminer” en los análisis) y un binario llamado “myawesomeproxy”, que según análisis en servicios como VirusTotal actúa como un backdoor sigiloso y como proxy inverso. El proxy permite redirigir tráfico saliente de la máquina comprometida a través del servidor controlado por el atacante, lo que puede usarse para ocultar actividades maliciosas o para montar servicios intermediarios.
Al ejecutar el proxy, según el autor del análisis, el software muestra un mensaje que indica que el uso del tráfico de red por terceros puede considerarse aceptado, lo que sugiere que el programa está pensado para proxificar conexiones externas de forma transparente.
A quién afecta y alcance conocido
- Instancias de Plex Media Server accesibles desde Internet que no estén parcheadas son el objetivo principal.
- Hay informes en foros públicos (por ejemplo, Reddit) de usuarios con instancias comprometidas que presentan el mismo minero, aunque no siempre está confirmado que la vía haya sido Plex2Shell.
- Se han observado conexiones a servidores de control y dominios relacionados con botnets y servicios de proxy, lo que indica un uso coordinado para minería y proxyware.
Qué deben hacer administradores y propietarios de sitios
La recomendación principal es actualizar Plex Media Server a la versión que corrige las vulnerabilidades cuanto antes. La cadena Plex2Shell fue reportada a Plex y parchada en actualizaciones anteriores, por lo que mantener el software en la versión publicada con correcciones evita esta forma de ejecución remota.
Además de actualizar, se aconseja:
- Revisar procesos en servidores que ejecuten Plex en busca de binarios o procesos inusuales (por ejemplo, procesos con nombres como “mylovelyminer” o “myawesomeproxy”).
- Comprobar conexiones salientes y destinos DNS inusuales hacia dominios o IPs señaladas en los análisis de seguridad.
- Restaurar desde backups limpios y reinstalar el software si se confirma la presencia de malware persistente.
- Limitar el acceso público al servicio Plex: usar firewalls, VPN o listas de acceso para reducir la exposición.
Contexto y conclusión
La explotación se dio poco después de que se publicara un PoC técnico, lo que subraya la rapidez con la que los atacantes pueden convertir pruebas públicas en campañas activas. Para administradores de servidores y propietarios de sitios web que usen Plex como servicio en servidores expuestos, la acción inmediata es comprobar versiones y aplicar parches, y auditar las instancias para detectar indicios de compromiso.
Lee también:
- Bitwarden traslada sus compilaciones oficiales a licencia comercial pero mantendrá el código GPLv3 en GitHub
- Claves de UpdraftCentral comprometidas instalan puertas traseras en sitios WordPress
Fuente: The Hacker News
