In questo articolo Indice dei contenuti 2 sezioni
Chi utilizza Plex Media Server per gestire film, musica e foto di casa farebbe bene a controllare subito la versione installata. I criminali informatici stanno infatti prendendo di mira le installazioni rimaste indietro con gli aggiornamenti e sfruttano vulnerabilità già corrette per piazzare malware sui sistemi esposti. Il risultato può essere un computer domestico o un NAS trasformato in una macchina che genera criptovalute per conto di altri oppure in un ponte per il traffico Internet di sconosciuti.
La campagna è stata documentata da diversi ricercatori di sicurezza e il quadro che ne esce è piuttosto chiaro. Il problema tocca soprattutto i server non aggiornati e raggiungibili dall’esterno. Che una correzione esista già conta poco se il software vulnerabile continua a girare indisturbato, perché gli aggressori colpiscono proprio chi non ha ancora fatto il passo successivo.
Plex2Shell e l’esecuzione di codice da remoto
Al centro degli attacchi c’è una catena di falle battezzata Plex2Shell. Le vulnerabilità sono state segnalate inizialmente al produttore dal ricercatore Zach Main e poi messe insieme in una procedura capace di eseguire codice sul dispositivo che ospita il server senza bisogno di credenziali di accesso. Si tratta di quattro problemi distinti, catalogati con altrettanti codici CVE di quest’anno, ognuno con caratteristiche proprie.
Presi uno alla volta non spaventano più di tanto. Il pericolo vero nasce dalla concatenazione degli exploit, che permette di scavalcare più controlli di sicurezza uno dopo l’altro. La sequenza descritta parte da una richiesta generata dal server verso una destinazione controllata dall’attaccante, prosegue con il passaggio attraverso l’interfaccia locale, arriva al furto di un token di autenticazione e si chiude con la consegna del codice dannoso.
Quando il codice dimostrativo è diventato pubblico altri esperti hanno potuto osservare da vicino le mosse dei criminali grazie a un honeypot, ovvero un sistema esca pensato apposta per registrare i tentativi di intrusione. Le prime attività malevole sono comparse poco dopo la diffusione dei dettagli tecnici. Un segnale abbastanza eloquente di quanto un exploit funzionante possa accorciare i tempi tra la scoperta di una falla e gli attacchi veri e propri.
Cryptominer, proxy residenziali e come difendersi
Sulle macchine compromesse i ricercatori hanno trovato due tipi di carico malevolo. Il primo è un programma per il mining di criptovalute che sfrutta la potenza di calcolo del dispositivo infetto per generare guadagni destinati agli aggressori. Il prezzo lo paga il proprietario con un processore sotto sforzo e un sistema più lento, consumi di energia in aumento e prestazioni ridotte per tutte le altre applicazioni.
Il secondo installa invece un software di proxy residenziale. In questo caso la connessione della vittima viene usata per far transitare il traffico di altri soggetti, così da rendere più complicato risalire alla sua reale provenienza. Una situazione che può esporre il titolare del server a danni di reputazione e creare grattacapi nelle verifiche di sicurezza della rete.
La contromisura principale è semplice. Plex Media Server va portato alla versione 1.43.3 o a una successiva. Conviene anche assicurarsi che l’aggiornamento automatico sia attivo oppure scaricare manualmente il pacchetto corretto dal sito ufficiale. Gli amministratori possono poi limitare l’accesso al servizio alla sola rete locale ed evitare di esporlo direttamente su Internet quando non serve davvero.
Chi non può rinunciare all’accesso da fuori casa può valutare un reverse proxy configurato a dovere, tenendo presente che non sostituisce in alcun modo la correzione del software. A rafforzare la protezione complessiva contribuiscono anche l’uso di applicazioni Plex affidabili e di password robuste.
Fonte: TecnoAndroid