QNAP confirmă că atacatorii intră în NAS-urile de acasă prin Plex2Shell, iar actualizarea Plex nu e suficientă

Acum trei săptămâni scriam despre Plex2Shell, lanțul de patru erori care predă un Plex Media Server neactualizat oricui de pe internet. Pe 6 noiembrie, povestea s-a apropiat de casă. QNAP a anunțat că o parte dintre clienți au raportat că Plex de pe NAS-ul lor pare să fi fost compromis în acest fel, iar echipa de suport îi ajută acum.

QNAP ține să precizeze că propriile sisteme, QTS și QuTS hero, nu sunt punctul slab. Vulnerabilitățile sunt în Plex. O consolare slabă când Plex rulează pe aparatul care păstrează cincisprezece ani de fotografii de familie. Remedierea este Plex Media Server 1.43.3.10861 sau mai nou, disponibil în App Center, iar CISA a adăugat toate cele patru CVE pe lista vulnerabilităților exploatate pe 20 octombrie. Mesajul mai dur se află în FAQ-ul QNAP: dacă Plex era accesibil din internet în versiunea 1.43.2 sau mai veche, actualizarea singură nu ajunge, pentru că ce a lăsat un atacator pe aparat rămâne acolo.

Lista de verificări a companiei este foarte concretă. Căutați procese numite myawesomeproxy, mylovelyminer sau x12345, fișiere .so sau .dll necunoscute în folderul Codecs al Plex, conexiuni către proxystream.st și un procesor care muncește din greu deși nu rulează nimic. Dacă serverul era expus, dezinstalați Plex și reinstalați o versiune corectată fără să restaurați vechiul folder Codecs, deconectați toate dispozitivele Plex și schimbați parolele pentru Plex, NAS și backupuri. Interpretarea avertismentului făcută de BleepingComputer merge mai departe și include o reinstalare curată a QTS sau QuTS hero. Apoi dezactivați accesul de la distanță și UPnP, opriți redirecționarea portului 32400 și folosiți un VPN dacă vreți să vă uitați la conținut din afara casei.

Mulți uită chiar că au un NAS până se întâmplă așa ceva, iar scanarea rețelei din Tendvane afișează fiecare dispozitiv din rețeaua de acasă, ca cele uitate să redevină vizibile.