QNAP confirme que des pirates entrent dans des NAS domestiques via Plex2Shell, et mettre Plex à jour ne suffit pas
Il y a trois semaines, nous parlions de Plex2Shell, cette chaîne de quatre failles qui livre un Plex Media Server pas à jour à n'importe qui sur Internet. Le 6 novembre, l'affaire s'est rapprochée de nos salons. QNAP indique que certains clients ont signalé que Plex semblait avoir été compromis de cette façon sur leur NAS, et son support technique les accompagne désormais.
QNAP prend soin de préciser que ses propres systèmes, QTS et QuTS hero, ne sont pas en cause. Les failles se trouvent dans Plex. Maigre consolation quand Plex tourne sur la machine qui conserve quinze ans de photos de famille. Le correctif, c'est Plex Media Server 1.43.3.10861 ou plus récent, disponible dans l'App Center, et la CISA a ajouté les quatre CVE à sa liste de vulnérabilités exploitées le 20 octobre. Le message le plus dur se trouve dans la FAQ de QNAP : si Plex était accessible depuis Internet en version 1.43.2 ou antérieure, la mise à jour seule ne suffit pas, car ce qu'un attaquant a déposé sur la machine y reste.
La liste de vérifications du fabricant a le mérite d'être précise. Cherchez des processus nommés myawesomeproxy, mylovelyminer ou x12345, des fichiers .so ou .dll inconnus dans le dossier Codecs de Plex, des connexions vers proxystream.st, et un processeur qui travaille dur alors que rien n'est en lecture. Si le serveur était exposé, désinstallez Plex puis réinstallez une version corrigée sans restaurer l'ancien dossier Codecs, déconnectez tous les appareils Plex et changez les mots de passe de Plex, du NAS et des sauvegardes. La lecture de l'avis par BleepingComputer va plus loin et mentionne une réinstallation propre de QTS ou QuTS hero. Ensuite, désactivez l'accès à distance et l'UPnP, cessez de rediriger le port 32400 et passez par un VPN si vous voulez regarder vos vidéos hors de chez vous.
Beaucoup de gens oublient même que leur NAS existe jusqu'au jour où ce genre de chose arrive, et l'analyse réseau de Tendvane liste chaque appareil de votre réseau domestique pour que les oubliés réapparaissent.