Hackers kapen Plex-servers om cryptovaluta te minen: werk je server zo snel mogelijk bij

Beveiligingslekken in Plex Media Server maken het mogelijk dat aanvallers op afstand schadelijke code uitvoeren zonder in te loggen. Installeer onmiddellijk de nieuwste beveiligingsupdate en controleer of je server mogelijk is geïnfecteerd.

Beveiligingsonderzoekers hebben ontdekt dat cybercriminelen actief misbruik maken van vier kwetsbaarheden in Plex Media Server. Dit is de populaire software waarmee gebruikers films, series, muziek, foto's en andere digitale bestanden vanaf hun eigen computer, server of NAS-apparaat kunnen streamen naar andere apparaten. Met Plex kun je als het ware je eigen streamingdienst opzetten, vergelijkbaar met Netflix, maar dan met je eigen mediabibliotheek.

De vier beveiligingslekken, die gezamenlijk bekendstaan als Plex2Shell, kunnen in combinatie worden gebruikt om op afstand schadelijke code uit te voeren op kwetsbare Plex-servers. Het zorgwekkende is dat aanvallers daarvoor niet eerst hoeven in te loggen of over geldige accountgegevens hoeven te beschikken.

Hierdoor kunnen servers die via internet bereikbaar zijn en nog niet zijn bijgewerkt, een aantrekkelijk doelwit vormen voor cybercriminelen. Zodra aanvallers misbruik maken van de kwetsbaarheden, kunnen ze proberen ongewenste software te installeren en de server voor hun eigen doeleinden te gebruiken.

Wat is Plex2Shell en waarom is het gevaarlijk?

Plex2Shell is de verzamelnaam voor een reeks van vier kwetsbaarheden in Plex Media Server die samen een aanval mogelijk kunnen maken. Door deze beveiligingslekken met elkaar te combineren, kunnen aanvallers onder bepaalde omstandigheden de beveiliging van een kwetsbare server omzeilen en op afstand opdrachten uitvoeren.

Daarbij is vooral het ontbreken van een vereiste aanmelding een groot risico. Normaal gesproken vormt authenticatie een belangrijke verdedigingslaag: een aanvaller moet dan eerst toegang krijgen tot een account voordat bepaalde handelingen mogelijk zijn. Bij deze aanvalsketen kunnen kwaadwillenden die stap overslaan.

Het grootste risico geldt voor Plex-servers die rechtstreeks vanaf internet toegankelijk zijn en waarop nog een kwetsbare softwareversie draait. Dat betekent niet automatisch dat iedere Plex-installatie gevaar loopt. Een server die niet vanaf internet bereikbaar is, heeft doorgaans een kleiner aanvalsoppervlak, al is ook die situatie geen absolute garantie voor veiligheid.

Cryptominers en proxysoftware op geïnfecteerde servers

Er zijn meldingen dat aanvallers de kwetsbaarheden gebruiken om aanvullende software op getroffen systemen te installeren. Het gaat onder meer om programma's die ongemerkt cryptovaluta minen en om proxysoftware waarmee internetverkeer via de verbinding van het slachtoffer kan worden geleid.

Een cryptominer gebruikt de rekenkracht van een computer om cryptovaluta te genereren. Dit proces kan de processor langdurig zwaar belasten, waardoor de server aanzienlijk trager wordt. Omdat het minen op de achtergrond plaatsvindt, merkt een gebruiker mogelijk pas na verloop van tijd dat er iets mis is.

Een geïnfecteerde Plex-server kan daardoor verschillende problemen vertonen, waaronder:

• Een ongewoon hoge processorbelasting: het CPU-gebruik blijft hoog, zelfs wanneer er geen films of andere media worden afgespeeld.

• Oververhitting: de processor en andere onderdelen produceren meer warmte dan normaal, waardoor ventilatoren harder draaien.

• Slechtere prestaties: het streamen van films en series verloopt minder soepel, terwijl ook andere toepassingen op hetzelfde systeem trager kunnen reageren.

• Onverklaarbaar netwerkverkeer: de server verstuurt of ontvangt gegevens zonder dat daar een duidelijke reden voor is.

• Onbekende achtergrondprocessen: er draaien programma's of services die je niet zelf hebt geïnstalleerd of die niet bij je gebruikelijke serveractiviteiten horen.

Proxysoftware brengt een ander risico met zich mee. Hiermee kunnen aanvallers internetverkeer via jouw server en internetverbinding laten lopen. Dat kan leiden tot extra dataverbruik en mogelijk tot misbruik van jouw IP-adres voor activiteiten waarmee je niets te maken hebt.

Let op: deze symptomen bewijzen op zichzelf niet dat je server is gehackt. Hoge processorbelasting kan bijvoorbeeld ook worden veroorzaakt door het analyseren van mediabestanden, het genereren van miniaturen, het transcoderen van video's of andere normale Plex-taken. Onverklaarbare veranderingen verdienen echter wel nader onderzoek.

Plex heeft de beveiligingslekken al verholpen

Er is ook goed nieuws: Plex heeft beveiligingsupdates uitgebracht waarmee de betreffende kwetsbaarheden zijn verholpen. De kwetsbaarheden waren dus al aangepakt voordat de recente meldingen over actieve aanvallen breed onder de aandacht kwamen.

Volgens de beveiligingsinformatie van Plex moeten gebruikers ervoor zorgen dat zij Plex Media Server versie 1.43.3 of hoger gebruiken om beschermd te zijn tegen de beschreven kwetsbaarheden.

Het probleem is dat niet iedereen zijn server regelmatig bijwerkt. Plex-installaties kunnen jarenlang op dezelfde versie blijven draaien, bijvoorbeeld omdat de server op een NAS-apparaat staat, automatisch bijwerken is uitgeschakeld of de beheerder niet doorheeft dat er een nieuwe versie beschikbaar is.

Daardoor kunnen systemen kwetsbaar blijven, ook al bestaat de oplossing al geruime tijd.

Plex heeft gewaarschuwd dat de aanvallen op grote schaal plaatsvinden en zich richten op servers die via internet bereikbaar zijn en nog niet van de beveiligingsupdates zijn voorzien.

Zo controleer en beveilig je jouw Plex-server

Gebruik je Plex Media Server, controleer dan zo snel mogelijk welke versie je hebt geïnstalleerd. Wacht niet tot je problemen merkt: een server kan al zijn gecompromitteerd zonder dat dit direct duidelijk is.

Stap 1: Controleer je huidige Plex-versie

Open de beheeromgeving van Plex Media Server en zoek naar de versie-informatie. De precieze locatie van deze informatie kan verschillen, afhankelijk van de gebruikte interface en het apparaat.

Vergelijk de geïnstalleerde versie met de vereiste beveiligingsversie. Gebruik je een oudere versie dan 1.43.3, werk de server dan onmiddellijk bij.

Stap 2: Installeer de beveiligingsupdate

Download een actuele versie via de officiële downloadpagina van Plex Media Server. Kies de juiste versie voor jouw besturingssysteem of NAS-platform.

Je kunt Plex gebruiken op onder meer Windows, macOS, Linux en verschillende NAS-systemen. De installatieprocedure verschilt per platform. Bij sommige apparaten verloopt de update via het pakketbeheer van de fabrikant, terwijl je bij andere systemen het installatiebestand zelf moet downloaden en uitvoeren.

Controleer na de installatie opnieuw het versienummer. Ga er niet automatisch van uit dat de update is gelukt: sommige systemen blijven oudere software gebruiken wanneer de verkeerde versie is geïnstalleerd of wanneer een updateproces niet volledig is afgerond.

Stap 3: Beperk de toegang vanaf internet

Controleer of je Plex-server daadwerkelijk vanaf internet bereikbaar moet zijn. Als je de server alleen thuis of binnen je eigen netwerk gebruikt, kun je overwegen externe toegang uit te schakelen.

Controleer daarnaast de instellingen van je router en firewall. Verwijder onnodige port-forwardingregels en beperk externe toegang tot diensten die je daadwerkelijk nodig hebt.

Moet je Plex onderweg kunnen gebruiken, dan hoef je externe toegang niet per definitie uit te schakelen. Zorg er wel voor dat de server volledig is bijgewerkt en dat je netwerkconfiguratie niet onnodig veel diensten aan het internet blootstelt.

Stap 4: Controleer op tekenen van een mogelijke infectie

Heb je een kwetsbare Plex-versie gebruikt terwijl de server vanaf internet bereikbaar was, wees dan extra alert. Controleer onder andere:

• welke processen op de achtergrond draaien en hoeveel CPU-capaciteit ze gebruiken;
• of er onbekende programma's, services, geplande taken of opstartitems zijn toegevoegd;
• of er onverwacht netwerkverkeer of ongebruikelijke uitgaande verbindingen plaatsvinden;
• of er onbekende bestanden of wijzigingen zijn verschenen in systeemmappen;
• of beveiligingssoftware verdachte bestanden of activiteiten meldt.

Een bijgewerkte server is niet automatisch schoon. Als een aanvaller vóór de update al schadelijke software heeft geïnstalleerd, kan die software actief blijven nadat het oorspronkelijke beveiligingslek is verholpen.

Stap 5: Voer een volledige beveiligingsscan uit

Gebruik actuele beveiligingssoftware om het systeem grondig te controleren. Op Windows kun je bijvoorbeeld Microsoft Defender gebruiken; op andere systemen is geschikte beveiligingssoftware voor het betreffende besturingssysteem nodig.

Voer waar mogelijk een volledige scan uit en volg de aanbevelingen van de beveiligingssoftware op. Als verdachte bestanden of processen worden gevonden, verwijder die dan niet zomaar zonder na te gaan wat ze zijn. Bij een vermoedelijke inbraak kan het belangrijk zijn om eerst relevante logbestanden en andere gegevens veilig te stellen voor onderzoek.

Houd er rekening mee dat een virusscan niet iedere vorm van compromittering kan aantonen. Vooral bij servers kan aanvullende controle van accounts, systeeminstellingen, netwerkverbindingen en logbestanden noodzakelijk zijn.

Wat moet je doen als je server daadwerkelijk is gehackt?

Als je aanwijzingen hebt dat aanvallers toegang hebben gekregen tot je systeem, is alleen updaten niet voldoende. Een beveiligingsupdate verhelpt de oorspronkelijke kwetsbaarheid, maar verwijdert niet noodzakelijk de malware die al op het systeem aanwezig is.

Plex adviseert bij een bevestigde inbraak een schone herinstallatie. Dat betekent dat je de server opnieuw opbouwt vanuit een betrouwbare installatiebron, in plaats van uitsluitend de bestaande software bij te werken.

Neem bij een vermoedelijke of bevestigde infectie de volgende maatregelen:

1. Isoleer het getroffen systeem. Beperk de netwerkverbinding of haal de server tijdelijk offline om verdere communicatie met aanvallers en eventueel misbruik van je verbinding te voorkomen.

2. Stel belangrijke gegevens veilig. Bewaar noodzakelijke mediabestanden en configuratiegegevens zorgvuldig. Maak geen ongecontroleerde back-up van uitvoerbare bestanden of mogelijk besmette software die je later opnieuw zou kunnen uitvoeren.

3. Onderzoek de omvang van het incident. Controleer of de verdachte activiteit beperkt lijkt tot Plex of dat ook andere accounts, bestanden en onderdelen van het systeem kunnen zijn geraakt.

4. Installeer het systeem opnieuw als een inbraak is bevestigd. Gebruik betrouwbare installatiebestanden, installeer alle beveiligingsupdates en controleer het systeem voordat je het weer op internet aansluit.

5. Wijzig relevante wachtwoorden en herstel toegang. Doe dit vanaf een schoon, vertrouwd apparaat. Wijzig wachtwoorden van accounts die mogelijk zijn blootgesteld en trek verdachte sessies of toegangstokens in waar dat mogelijk is.

6. Controleer je netwerk opnieuw. Kijk of er onbekende routerinstellingen, firewallregels, port-forwardingregels of andere wijzigingen zijn aangebracht.

Als je Plex-server op een NAS draait, vergeet dan niet dat het probleem mogelijk niet uitsluitend bij Plex ligt. De NAS zelf kan aanvullende beveiligingsmaatregelen nodig hebben. Controleer daarom ook de systeemsoftware, gebruikersaccounts en andere diensten die op het apparaat actief zijn.

Door: Drifter