Saldırganlar Plex açıklarını kullanarak kripto madenci yayıyor
Öne çıkanlar
- Plex2Shell istismarı savunmasız Plex sunucularında uzaktan kod yürütülmesine yol açtı.
- Saldırganlar ele geçirdikleri sistemlere kripto madenci ve proxy yazılımları yükledi.
- Plex, 1.43.2 ve önceki sürümleri etkileyen açıklar için eylül ayında güncelleme yayımladı.
Plex Media Server yazılımındaki birden fazla güvenlik açığını zincirleyen Plex2Shell istismarı, internet genelindeki sunucularda aktif saldırılara yol açtı. Güvenlik araştırmacısı tarafından kurulan bal küpü sistemi, savunmasız Plex sürümlerini hedef alan ilk saldırıları 17 Ekim 2026 tarihinde tespit etti. Saldırganların sistemlere sızdıktan sonra XMRig tabanlı kripto madencilik zararlısı ve proxy yazılımları yüklediği belirlendi.
Süreç, Plex geliştiricilerinin 1 Eylül 2026 tarihinde 1.43.2 ve önceki sürümler için yayımladığı güvenlik uyarısıyla başladı. Takip eden süreçte CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 kodlu güvenlik açıkları listelendi. Bir araştırmacı bu açıkları birleştirerek uzaktan kod yürütme sağlayan Plex2Shell yöntemini açıkladı. Yöntemin kamuoyuna duyurulmasının hemen ardından saldırganlar savunmasız hedeflere yönelik tarama ve istismar faaliyetlerini başlattı.
İstismar girişimlerinin ardından ele geçirilen sunuculara zararlı Docker imajları ile myawesomeproxy adlı bir proxy bileşeni indirildi. Araştırmacı, saldırganların ev kullanıcılarına ait IP adreslerini kurumsal ağlara veya e-posta servislerine erişmek amacıyla birer tünel gibi kullanmayı hedeflediğini kaydetti. Analiz edilen trafik ve dosya izleri, saldırıların konut IP ağlarını hedefleyen daha geniş operasyonlarla bağlantılı olduğunu gösteriyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.