Votre serveur Plex peut miner des cryptos sans que vous le sachiez
Un outil nommé Plex2Shell permet de prendre la main sur un serveur Plex sans mot de passe pour y loger un mineur de cryptomonnaie. Voici comment réagir.
Par
Ludovic Serres
En bref
- Des failles de Plex Media Server servent à installer en secret un logiciel de minage de cryptomonnaies.
- Un serveur qui chauffe et rame, sans mise à jour récente, peut trahir une infection.
- Un correctif existe ; sur NAS et Docker, la version se vérifie à la main.
Oui, un serveur Plex qui n’a pas été mis à jour peut être détourné pour miner des cryptomonnaies, sans que son propriétaire s’en aperçoive. D’après 01net, des pirates exploitent en ce moment plusieurs failles de Plex Media Server, et un correctif a été déployé pour endiguer ces attaques.
Plex2Shell, XMRig : comment l’attaque se déroule
Ces attaques reposent sur un outil malveillant diffusé depuis peu sur internet, Plex2Shell. Il enchaîne quatre failles de sécurité pour lancer des commandes sur la machine visée, sans aucune authentification préalable. En pratique, prendre la main sur un serveur Plex ne demande aucun identifiant ni compte à l’attaquant, et son propriétaire ne remarque rien.
Dès qu’ils ont pénétré dans le système, les assaillants y placent XMRig, un programme très répandu qui génère de la cryptomonnaie en exploitant la puissance des composants de l’ordinateur. Les premières intrusions réussies datent de quelques jours avant l’article de 01net publié le lundi 19 octobre. XMRig n’est pas une nouveauté : fin de l’année passée, on le retrouvait déjà dans une campagne chinoise de grande ampleur exploitant React2Shell, une vulnérabilité qui touche des briques logicielles servant à faire tourner des sites web.
Les attaques visent des serveurs obsolètes, c’est-à-dire non mis à jour, dans lesquels les pirates s’infiltrent sans s’identifier.
Les signes qui doivent alerter
Le minage ne passe pas inaperçu pour la machine : le serveur Plex se met à ramer et à surchauffer. Un appareil qui se met soudain à dérailler doit donc éveiller l’attention. Les Numériques précise que la chauffe et des lenteurs sérieuses, sur un serveur Plex qui n’est pas à jour, peuvent être des indices d’une installation infiltrée.
Limite à garder en tête : ces symptômes, pris isolément, ne prouvent rien. C’est leur association avec une version ancienne du logiciel qui justifie de vérifier.
Le calendrier des correctifs
- : Plex publie un correctif qualifié d’« importante mise à jour de sécurité » pour Plex Media Server 1.43.3 ainsi que Plex Desktop 1.115.0, mais sans indiquer quelle menace il corrige.
- : on en apprend davantage sur les failles concernées, selon Les Numériques.
- : la version la plus récente proposée est la 1.43.4.
Autrement dit, les failles avaient été corrigées bien avant le début des attaques. Seuls les serveurs restés sur une ancienne version offrent une prise aux pirates.
Se protéger : les gestes à faire
Plex recommande de passer à Plex Media Server 1.43.3, et Plex Desktop 1.115.0, ou à une version plus récente. Sur les NAS et les installations Docker, la mise à jour ne se fait pas toujours automatiquement, d’où l’intérêt de contrôler soi-même le numéro de version.
- Accéder aux réglages de l’application, quel que soit l’environnement de Plex (PC, NAS ou conteneur Docker), puis relever le numéro de version du serveur ainsi que celui de Plex Desktop.
- Télécharger puis installer la version la plus récente proposée, la 1.43.4 au 19 octobre.
- Surveiller la température et la fluidité de la machine après la mise à jour.
Les Numériques évoque aussi, pour qui le souhaite, de profiter de l’occasion pour tester une solution alternative comme Jellyfin, libre et gratuite. Ce conseil relève du média et ne répond pas directement à la menace.
Photo : Anete Lusina / Pexels
