Por Canuto  

Investigadores observaron intentos activos de explotar fallas corregidas en Plex para instalar mineros de criptomonedas y software de proxy residencial. La recomendación inmediata para los usuarios es actualizar el servidor a la versión 1.43.3 y limitar su exposición a Internet.
***

  • Una cadena de cuatro vulnerabilidades, llamada Plex2Shell, puede permitir la ejecución remota de código en dispositivos con versiones vulnerables.
  • Un honeypot registró escaneos e intentos exitosos de infección con mineros de criptomonedas y aplicaciones de proxy residencial.
  • La recomendación es actualizar Plex a la versión 1.43.3 y reforzar la seguridad de los servidores expuestos a Internet.

 

Explotación activa contra servidores vulnerables

Servidores multimedia Plex con versiones vulnerables están en la mira de ataques que pueden terminar con la instalación de malware, incluidos programas para minar criptomonedas y aplicaciones de proxy residencial. La alerta se apoya en observaciones de un investigador que desplegó un honeypot, un sistema señuelo diseñado para registrar cómo intentan atacar un servicio sin poner en riesgo un servidor de uso habitual.

El investigador comenzó a detectar escaneos del servidor simulado un día después de ponerlo en funcionamiento y, más tarde, observó intentos que consiguieron instalar cargas maliciosas en ese entorno. Los resultados apuntan a que actores de amenazas ya prueban las fallas en la práctica, aunque no permiten determinar cuántos servidores reales resultaron comprometidos ni quiénes están detrás de las operaciones.

Las cargas observadas cumplen funciones distintas, pero ambas aprovechan los recursos y la conexión del dispositivo infectado. El minero utiliza la capacidad de procesamiento del equipo para producir criptomonedas y enviar las ganancias a una billetera controlada por el atacante; la información disponible no identifica qué activo digital se mina ni cuánto dinero habría generado.

La segunda carga instala software de proxy residencial, que permite a terceros enrutar su tráfico de Internet a través de la conexión de una víctima. El investigador advirtió que una dirección IP residencial podría resultar atractiva para quienes buscan acceder a servicios como VPN y correos corporativos, y señaló que parte del uso de estos proxies puede estar ligado a actividad ilegal.

De varias fallas a ejecución remota de código

A principios de septiembre, Plex publicó una actualización para corregir vulnerabilidades de su servidor multimedia. La empresa recomendó a los usuarios instalar Plex Media Server 1.43.3 para abordar problemas presentes en versiones anteriores. Después de las correcciones, la publicación de identificadores CVE describió cinco vulnerabilidades, una con una calificación de gravedad de 8,6 sobre 10. Semanas más tarde, un investigador dio a conocer una cadena que combinaba cuatro de esas fallas y la llamó Plex2Shell.

La cadena demuestra cómo una serie de debilidades puede producir un resultado más grave que cada problema considerado por separado: la ejecución remota de código en el dispositivo que opera una versión vulnerable de Plex. En términos prácticos, esa capacidad puede permitir que un atacante ejecute instrucciones en el servidor sin estar frente al equipo, lo que abre la puerta a entregar y activar una carga maliciosa.

El proceso descrito incluye una solicitud del tipo SSRF sin autenticación, un pivote hacia la interfaz local del sistema, el robo de un token de seguridad, la entrega de una carga y, finalmente, su ejecución. Cada paso prepara el siguiente: el acceso a una ruta interna facilita obtener el token, mientras que ese token ayuda a avanzar desde la interacción con el servicio hasta el control de la ejecución.

El investigador publicó la cadena como parte de una prueba de concepto incluida en un informe de vulnerabilidad enviado a Plex. Ars Technica informó que otro investigador utilizó los detalles divulgados para construir el honeypot y observar actividad en la red; la compañía no respondió de inmediato a las preguntas que el medio le dirigió.

La IA ayudó en la investigación, pero no tomó las decisiones

Quien desarrolló la prueba de concepto afirmó que utilizó inteligencia artificial de forma intensiva durante la investigación. Según su descripción, el trabajo comenzó por dividir el sistema en componentes y trazar las rutas entre las entradas controladas por usuarios y las partes del software que podían resultar peligrosas.

Después, el proceso consistió en buscar fallas por componente y verificar cada hallazgo con un agente separado, encargado de intentar desacreditarlo. Si ese análisis no conseguía refutar el problema, el investigador lo consideraba probablemente real y evaluaba si podía combinarse con otros defectos para construir una cadena de explotación.

El investigador aclaró que no bastó con pedirle a un modelo de lenguaje que hackeara Plex: describió horas de trabajo iterativo, callejones sin salida y decisiones humanas sobre qué buscar y qué priorizar. A su juicio, la IA aceleró el análisis al permitirle mantener una visión más amplia del proceso, pero la selección de objetivos y la orientación de la investigación siguieron bajo su criterio.

Ese relato muestra un uso concreto de la IA en investigación de seguridad, sin que la fuente atribuya al modelo una explotación autónoma. En este caso, las herramientas ayudaron a ordenar y acelerar tareas técnicas, mientras que la interpretación de resultados y las decisiones que conectaron las vulnerabilidades correspondieron al investigador.

Qué deben hacer los usuarios de Plex

La recomendación inmediata es comprobar que el servidor ejecute Plex versión 1.43.3, la actualización que la compañía presentó para corregir problemas de seguridad en versiones anteriores. Plex indicó que los usuarios deben actualizar el servidor; mantener una versión antigua prolonga la exposición a las fallas.

Actualizar el programa es la medida prioritaria, pero no reemplaza la necesidad de proteger cómo se conecta el servidor a la red. La opción más segura que plantea la información disponible es limitar el acceso a redes locales y evitar exponer el servicio a Internet, aunque esa configuración también impide utilizar algunas funciones remotas que pueden resultar útiles.

Para quienes necesitan conectar el servidor a Internet, la recomendación es enrutar el tráfico a través de un proxy inverso en lugar de dejar expuesto el puerto predeterminado 32400. También aconseja utilizar únicamente aplicaciones Plex seguras y establecer contraseñas fuertes, medidas que reducen riesgos de acceso indebido, aunque no sustituyen la instalación de los parches.

La alerta recuerda que un servidor multimedia doméstico conectado a Internet puede convertirse en infraestructura para actividades ajenas a su propietario, desde consumir capacidad de cómputo hasta encaminar tráfico de terceros. Los datos publicados no cuantifican el alcance total de la campaña, por lo que la actualización y la revisión de la exposición de red son las acciones prácticas que los usuarios pueden tomar ahora.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados