QNAP: napastnicy wchodzą do domowych NAS-ów przez Plex2Shell, a sama aktualizacja Pleksa nie wystarczy

Trzy tygodnie temu pisaliśmy o Plex2Shell, łańcuchu czterech błędów, który oddaje nieaktualny Plex Media Server w ręce każdego w internecie. 6 listopada sprawa podeszła bliżej domu. QNAP poinformował, że część klientów zgłosiła, iż Plex na ich NAS-ie najprawdopodobniej został przejęty właśnie w ten sposób, a dział wsparcia im teraz pomaga.

QNAP podkreśla, że jego własne systemy, QTS i QuTS hero, nie są słabym punktem. Luki tkwią w Pleksie. Marna to pociecha, gdy Plex działa na urządzeniu, które przechowuje piętnaście lat rodzinnych zdjęć. Rozwiązaniem jest Plex Media Server 1.43.3.10861 lub nowszy, dostępny w App Center, a CISA 20 października dopisała wszystkie cztery CVE do listy wykorzystywanych podatności. Trudniejsza wiadomość jest w FAQ QNAP: jeśli Plex był dostępny z internetu w wersji 1.43.2 lub starszej, sama aktualizacja nie wystarczy, bo to, co napastnik zostawił na urządzeniu, tam zostaje.

Lista kontrolna producenta jest konkretna. Szukaj procesów o nazwach myawesomeproxy, mylovelyminer lub x12345, nieznanych plików .so lub .dll w folderze Codecs Pleksa, połączeń z proxystream.st oraz procesora, który ciężko pracuje, choć nic nie jest odtwarzane. Jeśli serwer był wystawiony do sieci, usuń Pleksa i zainstaluj poprawioną wersję bez przywracania starego folderu Codecs, wyloguj wszystkie urządzenia Pleksa i zmień hasła do Pleksa, NAS-a i kopii zapasowych. BleepingComputer odczytuje komunikat jeszcze surowiej i wymienia czystą reinstalację QTS lub QuTS hero. Potem wyłącz zdalny dostęp i UPnP, przestań przekierowywać port 32400 i korzystaj z VPN, jeśli chcesz oglądać poza domem.

Wiele osób zapomina, że w ogóle ma NAS-a, dopóki nie wydarzy się coś takiego, a skanowanie sieci w Tendvane pokazuje każde urządzenie w domowej sieci, więc te zapomniane znów stają się widoczne.