Honeypot зафиксировал, как серверы Plex взламывают ради майнинга Monero
Злоумышленники отправляют специально сформированные запросы к эндпойнту таймлайна плеера, и сервер скачивает и запускает их код.
Блог The Bored Hacker описывает honeypot, который зафиксировал эксплуатацию четырёх CVE Plex Media Server, объединённых в удалённое выполнение кода. Когда исходящий трафик разрешили, машина скачала Docker-файл и упакованный UPX бинарник xmrig для майнинга.
Позже в обновлении появился прокси-инструмент, связанный с ботнетом Aisuru.
Уязвимости
The Bored Hacker Blog описывает атаки на Plex Media Server, связанные с CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Исследователь zmain объединил их в удалённое выполнение кода. По словам автора, сентябрьский бюллетень Plex от 1 сентября касался версии 1.43.2 и более ранних.
Что увидел honeypot
Атакующие отправляли специально сформированные запросы к эндпойнту таймлайна плеера, и сервер загружал и запускал код, размещённый атакующими. Автор зафиксировал запросы Python-urllib с нескольких IP, включая 45.194.92.222, 91.92.40.202 и 176.65.139.228. Когда исходящий трафик разрешили, honeypot скачал файл с 217.60.194.116. В нём оказались Docker-файл и бинарник UPX, определённый как xmrig, майнер криптовалюты. Позже в обновлении появился прокси-инструмент «myawesomeproxy», который автор связывает с proxystream.st и ботнетом Aisuru.
Исправленная версия названа, а майнер — лишь самая дешёвая часть
Исправленную версию и хронологию назвал комментатор, который говорит, что написал разбор Plex2Shell:
«Исправление в 1.43.3.10861. Всё, что старше, уязвимо. Я сообщил 27 июля, Plex выпустил патч и выплатил награду $500 примерно через неделю.» — комментатор, который говорит, что написал разбор Plex2Shell
Жертвы сидели на старых сборках и не знали об этом:
«Я запускаю Plex на Linux и не заметил, что в какой-то момент они поменяли URL apt-репозитория, так что я сильно отстал.» — жертва, у которой процесс MyLovelyMiner загрузил все ядра процессора
А майнер — не вся история:
«Этим машинам нельзя доверять даже после того, как вы удалили очевидный криптомайнер. … Сотрите диск и поставьте новую ОС.» — комментатор, в профиле HN которого написано «security person»
Поэтому проверка xmrig из поста — лишь минимум. Обновитесь до 1.43.3.10861 или новее (пользователям apt стоит проверить, что репозиторий всё ещё совпадает с текущим репозиторием Plex). А любой сервер, открытый в интернет и работавший на старой сборке, считайте скомпрометированным, а не просто майнящим.
Получайте такие разборы каждый день
Главные истории Hacker News — на email, в Telegram или RSS.
Show HN: Qwen3-4B, дообученная убирать длинные тире, сократила «оценку слопа» с 121 до 12,5
Модель обучили избавляться от привычек на MacBook Air, использовав всего 288 дистиллированных ответов.