QNAP: зловмисники проникають у домашні NAS через Plex2Shell, і самого оновлення Plex замало

Три тижні тому ми писали про Plex2Shell, ланцюжок із чотирьох помилок, який віддає застарілий Plex Media Server будь-кому в інтернеті. 6 листопада історія підійшла ближче до дому. QNAP повідомила, що частина клієнтів поскаржилася: Plex на їхніх NAS, схоже, зламали саме так, і служба підтримки зараз їм допомагає.

QNAP наголошує, що її власні системи, QTS і QuTS hero, не є слабким місцем. Вразливості містяться в Plex. Слабка розрада, коли Plex працює на пристрої, де зберігаються п'ятнадцять років сімейних фото. Виправлення - Plex Media Server 1.43.3.10861 або новіший, доступний в App Center, а CISA 20 жовтня додала всі чотири CVE до свого переліку вразливостей, які активно використовуються. Неприємніше повідомлення є в FAQ від QNAP: якщо Plex був доступний з інтернету у версії 1.43.2 або старішій, одного оновлення недостатньо, бо те, що зловмисник залишив на пристрої, там і лишається.

Контрольний список виробника напрочуд конкретний. Шукайте процеси з назвами myawesomeproxy, mylovelyminer або x12345, незнайомі файли .so чи .dll у теці Codecs програми Plex, з'єднання з proxystream.st і процесор, який напружено працює, хоча нічого не відтворюється. Якщо сервер був відкритий в інтернет, видаліть Plex і встановіть виправлену версію заново, не відновлюючи стару теку Codecs, вийдіть з облікового запису на всіх пристроях Plex і змініть паролі до Plex, NAS і резервних копій. BleepingComputer тлумачить попередження ще суворіше і згадує чисте перевстановлення QTS або QuTS hero. Потім вимкніть віддалений доступ і UPnP, припиніть переадресацію порту 32400 і користуйтеся VPN, якщо хочете дивитися поза домом.

Багато хто забуває, що NAS узагалі існує, доки не трапиться щось подібне, а сканування мережі в Tendvane показує кожен пристрій у домашній мережі, тож забуті знову стають помітними.