QNAP confirma que los atacantes entran en NAS domésticos a través de Plex2Shell, y actualizar Plex no basta

Hace tres semanas hablamos de Plex2Shell, la cadena de cuatro fallos que entrega un Plex Media Server desactualizado a cualquiera en Internet. El 6 de noviembre la historia se acercó a casa. QNAP informó de que algunos clientes han comunicado que Plex en su NAS parece haber sido comprometido de esta forma, y su servicio técnico les está ayudando.

QNAP se cuida de aclarar que sus propios sistemas, QTS y QuTS hero, no son el punto débil. Los fallos están en Plex. Poco consuelo cuando Plex se ejecuta en el aparato que guarda quince años de fotos familiares. La solución es Plex Media Server 1.43.3.10861 o posterior, disponible en el App Center, y la CISA añadió las cuatro CVE a su lista de vulnerabilidades explotadas el 20 de octubre. El mensaje más duro está en las preguntas frecuentes de QNAP: si Plex era accesible desde Internet con la versión 1.43.2 o anterior, actualizar no basta, porque lo que un atacante haya dejado en el equipo sigue ahí.

La lista de comprobaciones de la empresa es muy concreta. Busque procesos llamados myawesomeproxy, mylovelyminer o x12345, archivos .so o .dll desconocidos en la carpeta Codecs de Plex, conexiones a proxystream.st y un procesador trabajando a fondo cuando no se está reproduciendo nada. Si el servidor estaba expuesto, elimine Plex y reinstale una versión corregida sin restaurar la antigua carpeta Codecs, cierre la sesión en todos los dispositivos de Plex y cambie las contraseñas de Plex, del NAS y de las copias de seguridad. La lectura del aviso que hace BleepingComputer va más allá e incluye una reinstalación limpia de QTS o QuTS hero. Después, desactive el acceso remoto y UPnP, deje de redirigir el puerto 32400 y use una VPN si quiere ver sus contenidos fuera de casa.

Mucha gente ni se acuerda de que tiene un NAS hasta que pasa algo así, y el análisis de red de Tendvane enumera cada dispositivo de la red doméstica para que los olvidados vuelvan a aparecer.