Exploit Plex2Shell transforma servidores Plex não atualizados em mineradores e nós proxy
Prova de conceito pública levou a ataques em poucas horas, permitindo que invasores instalem malware persistente em servidores expostos.
O pesquisador de segurança Zach Main publicou detalhes técnicos e uma prova de conceito para a cadeia Plex2Shell em 16 de outubro; dentro de um dia, operadores de honeypots viram exploração em ambiente real que instalou cryptominers e backdoors proxy.
Plex2Shell combina quatro CVEs rastreados para alcançar execução remota de código sem autenticação: a cadeia força requisições ao servidor a vazar um token de administrador do dono e depois grava um ELF malicioso na pasta Codecs do Plex, para que seja executado durante o processo de transcodificação.
Pesquisadores e um autor de honeypot identificaram um minerador Monero baseado em XMRig e um backdoor/proxy reverso chamado myawesomeproxy; publicaram indicadores que incluem endereços IP usados nos exploits e um host de download malicioso.
Ainda há muitos servidores expostos porque a Plex lançou correções em agosto/setembro, mas várias instalações exigem atualização manual — e o auto‑update do Windows e do macOS vem configurado por padrão como “perguntar” —, com a Shadowserver apontando cerca de 49.000 hosts vulneráveis.
Operadores devem atualizar o Plex, inspecionar a pasta Codecs em busca de arquivos desconhecidos, checar por processos filhos inesperados, picos persistentes de CPU e conexões de saída desconhecidas. Servidores domésticos comprometidos também podem ser usados como pontos de saída de proxy para mascarar outros ataques.