En cuestión de horas tras la divulgación pública de la vulnerabilidad conocida como Plex2Shell, grupos de amenaza comenzaron a explotar servidores Plex mal configurados alrededor del globo. La cadena de exploits permite la ejecución remota de código, y los atacantes la han utilizado para desplegar cryptominers y malware de proxy. Este movimiento evidencia la velocidad con la que los adversarios pueden pasar de la investigación a la explotación activa, poniendo en riesgo la disponibilidad y la confidencialidad de los entornos que dependen de Plex para la gestión de medios.

Qué sabemos

La información disponible indica que la cadena de exploits Plex2Shell fue publicada y, casi de inmediato, se observaron campañas de ataque dirigidas a servidores Plex accesibles desde Internet. Los indicadores de compromiso (IOCs) reportados incluyen la descarga y ejecución de binarios de minería de criptomonedas, así como la instalación de componentes de proxy que convierten los servidores comprometidos en nodos de rebote para tráfico adicional.

Los ataques se han detectado en múltiples regiones de Latinoamérica y otras partes del mundo, afectando a organizaciones que dejaron sus instancias Plex sin las configuraciones de seguridad recomendadas, como la restricción de acceso a redes internas o la habilitación de autenticación fuerte.

Análisis técnico

El vector de ataque se basa en la capacidad de Plex2Shell para ejecutar código arbitrario mediante una combinación de vulnerabilidades en la interfaz web de Plex y en su motor de plugins. Una vez que el atacante logra la ejecución, despliega scripts que descargan los binarios de cryptominers desde servidores de comando y control (C2) y los ejecutan en segundo plano, consumiendo recursos de CPU y energía.

Paralelamente, se instala un componente de proxy malware que abre puertos de salida y permite que el servidor comprometido actúe como proxy para tráfico adicional, facilitando actividades de anonimato y evasión para otros actores. La cadena de exploits también incluye técnicas de persistencia, como la creación de tareas programadas o la modificación de scripts de inicio de Plex, garantizando que el código malicioso sobreviva a reinicios del servicio.

En términos de TTPs (tácticas, técnicas y procedimientos), los adversarios están aplicando:

  • Initial Access: explotación de vulnerabilidad remota sin autenticación.
  • Execution: ejecución de scripts de descarga y ejecución de binarios.
  • Persistence: creación de tareas programadas y modificación de archivos de inicio.
  • Impact: consumo de recursos mediante minería y establecimiento de proxy para tráfico malicioso.

Qué deben hacer los equipos de seguridad

  • Revisar y aplicar inmediatamente los parches o mitigaciones oficiales publicados para Plex2Shell.
  • Restringir el acceso a la interfaz web de Plex a redes de confianza mediante listas blancas de IP o VPN.
  • Habilitar autenticación multifactor (MFA) para todas las cuentas de administración de Plex.
  • Auditar los procesos en ejecución y buscar binarios desconocidos que consuman recursos de CPU de forma anómala.
  • Inspeccionar los logs de Plex en busca de solicitudes sospechosas o intentos de carga de plugins no autorizados.
  • Implementar monitoreo de integridad de archivos en los directorios de instalación de Plex para detectar modificaciones inesperadas.
  • Si se detecta actividad de minería, aislar el servidor comprometido, detener los procesos maliciosos y realizar un análisis forense para identificar posibles C2.
  • Actualizar las reglas de detección de IDS/IPS para incluir patrones de tráfico asociados a los proxies instalados por los atacantes.
Fuente: SecurityWeek