سلسلة استغلال Plex2Shell تثبّت منجم XMRig على خوادم الوسائط

لاحظ الباحثون الأمنيون حملة هجوم نشطة وموجهة تُعرف باسم Plex2Shell، تستهدف بشكل محدد تركيبات Plex Media Server لتثبيت مناجم العملات الرقمية XMRig غير المصرح بها وبوابة خلفية (backdoor) للوكيل على أنظمة لينكس. تعتمد هذه التقنية على سلسلة من أربع ثغرات محددة، والتي عند دمجها في تسلسل معين، تتيح للمهاجمين تنفيذ الأكواد عن بُعد على الأنظمة المتأثرة. يمثل هذا التطور تحولاً في تكتيكات تعدين العملات الرقمية، حيث يتجاوز الهجمات المباشرة على المنصات والمحافظ الرقمية ليصل إلى تقويض بنية الوسائط لدى المستهلكين والشركات الصغيرة.

أربع ثغرات تتيح الوصول عن بُعد

تتضمن تقنية Plex2Shell الربط الاستراتيجي لعدة نقاط ضعف موجودة داخل برنامج Plex Media Server. تحت ظروف محددة، يمكن دمج هذه الثغرات الأربع معاً لمنح المهاجم قدرات كاملة لتنفيذ الأكواد عن بُعد. بمجرد تأمين هذا الوصول الأولي، يتقدم الفاعلون الخبيثون لتثبيت XMRig، وهو أداة لتعدين العملات الرقمية، بالإضافة إلى برامج إضافية تعمل كوكيل عكسي أو بوابة خلفية. تعتبر هذه البوابة الخلفية حاسمة لأنها تتيح للمهاجمين الحفاظ على وصول دائم إلى نظام لينكس المخترق، مما يضمن بقاءهم داخل النظام حتى إذا تم تصحيح الثغرة الأولية في وقت لاحق.

يُعد XMRig تطبيق تعدين مشروعاً ومفتوح المصدر على نطاق واسع عندما يُستخدم بإذن صريح من مالك الخادم. ومع ذلك، في سياق هذا الاستغلال المحدد، يعمل بالكامل دون تفويض. على الخادم المخترق، تستهلك الأداة بهدوء كميات كبيرة من قوة المعالجة والكهرباء. يتم توجيه هذه النشاط نحو تعدين العملات الرقمية لصالح المهاجم فقط، وليس مشغل الخادم. بسبب الطبيعة الخفية للبرمجيات الخبيثة، غالباً ما يمر نشاط التعدين دون أن يلاحظه أدوات المراقبة القياسية التي لا تميز استخدام المعالج المرتفع كتهديد أمني.

الاستغلال يتبع إثبات المفهوم العام

تم الإبلاغ عن الثغرات المستهدفة في هذه الحملة إلى المورد في وقت سابق من العام. عالج Plex لاحقاً هذه العيوب الأمنية في إصدار Media Server 1.43.3.10861. وفقاً للتقارير الأمنية، بدأت محاولات الاستغلال النشطة في الظهور في العالم الحقيقي بعد تداول مواد إثبات المفهوم العامة لسلسلة الاستغلال في أكتوبر. يشير هذا الجدول الزمني بقوة إلى أن توفر التفاصيل التقنية في المجال العام تسارع الانتقال من خطر نظري إلى هجمات حقيقية ونشطة.

ليس كل خادم يعمل بنظام Plex Media Server معرضاً حتماً لهذه السلسلة المحددة. يتركز الخطر الرئيسي في الحالات التي لا تزال تعمل ببرمجيات متأثرة وغير مُرقعة. في حين أن التفاصيل حول معدلات النجاح الدقيقة لهذه الهجمات لا تزال غير واضحة، فإن وجود سلسلة استغلال عاملة يشير إلى متجه تهديد قابل للتطبيق للفاعلين التهديديين. تكون الهجمة ذات صلة خاصة لأنظمة القائمة على لينكس، وهي شائعة في إعدادات الخوادم المنزلية وبيئات الشركات الصغيرة التي تستخدم Plex لبث الوسائط.

يُنصح المشغلون بالتحقق من إصدارات البرمجيات

بالنسبة للمشغلين لـ Plex Media Server، فإن الاستجابة الموصى بها هي التحقق من الإصدار المثبت حالياً من البرمجيات. إذا كان الإصدار قبل 1.43.3.10861، فإن تطبيق تحديثات المورد هو الإجراء الفوري والضروري للتخفيف من المخاطر. إلى جانب التصحيح، يُنصح المشغلون بمراجعة أنظمتهم بحثاً عن عمليات غير متوقعة أو اتصالات شبكة غير عادية. يمكن أن تساعد هذه المؤشرات في تحديد العدوى النشطة التي قد تكون حدثت بالفعل على النظام.

نادراً ما تعلن برمجيات تعدين العملات الرقمية عن وجودها من خلال تنبيهات مرئية أو رسائل خطأ. في كثير من الحالات، قد يكون الخادم المشغول بشكل غير طبيعي أول دليل واضح على العدوى. يجب أن يؤدي استخدام المعالج المرتفع دون زيادة مقابلة في نشاط المستخدمين المشروعين أو طلبات البث إلى إجراء مراجعة أمنية شاملة. نظراً لأن سلسلة الاستغلال موثقة علنياً، فمن المرجح أن يبقى نافذة الفرص للمهاجمين لاستهداف الأنظمة غير المُرقعة المتبقية مفتوحة. اليقظة في تحديث برمجيات خوادم الوسائط أمر أساسي لمنع استهلاك الموارد غير المصرح به والتعرض المحتمل لإخراق الشبكة.