بر اساس گزارش منتشرشده، گروهی از مهاجمان با سوءاستفاده از آسیب‌پذیری (Exploit) موسوم به Plex2Shell، سرورهای وصله‌نشده Plex را هدف قرار داده و روی آن‌ها ماینر رمزارز (Cryptominer) نصب می‌کنند. این کمپین امنیتی به‌ویژه سرورهای Plex را که به اینترنت متصل هستند و از آگوست به‌روزرسانی نشده‌اند، تهدید می‌کند.
Plex2Shell چگونه سرورها را آلوده می‌کند؟
بر پایه گزارش BoredHackerBlog، این موج تازه پس از راه‌اندازی یک هانی‌پات (Honeypot) از سوی محققان شناسایی شد؛ هانی‌پاتی که برای فریب مهاجمان و نصب بدافزار روی آن طراحی شده بود. پس از مشاهده روندی مشابه، محققان در Reddit از کاربران خواستند وضعیت سرورهای وصله‌نشده خود را بررسی کنند.
در این بررسی، کاربران باید فهرست پردازش‌ها (Process List) را با فرمان ps axjf بررسی می‌کردند تا مشخص شود آیا پردازش Plex Media Server یک پردازش فرزند مشکوک دارد یا خیر. همچنین نشانه‌هایی مانند پردازش‌های myawesomeproxy، mylovelyminer و x12345، یا استفاده از wget/curl برای دانلود یک فایل اسکریپت مشکوک از یک نشانی IP، به‌عنوان علائم آلودگی مطرح شده است.
نشانه‌های خط فرمان مشکوک
محققان علاوه بر نام پردازش‌ها، به خط فرمان (Command Line) پردازش‌ها نیز اشاره کرده‌اند. وجود عبارت‌هایی مانند --rig-id، proxystream[.]st و --donate-level در خط فرمان پردازش‌ها می‌تواند نشانه فعالیت ماینر رمزارز باشد. این شاخص‌ها به کاربران کمک می‌کند تا سرورهای آلوده را سریع‌تر شناسایی کنند.
نسخه ایمن و ضرورت به‌روزرسانی
بر اساس گزارش، Plex2Shell در اواخر ژوئیه ۲۰۲۶ به Plex گزارش شده و این آسیب‌پذیری در ۴ آگوست اصلاح شده است. دانش عمومی درباره این اکسپلویت نیز در ۱۶ اکتبر منتشر شده است. طبق گزارش یکی از چهار اکسپلویتی که Plex2Shell از آن استفاده می‌کرد، همه سرورهای Plex با نسخه 1.43.3.10861 یا جدیدتر در برابر این تهدید محافظت می‌شوند.
با این حال، چون بسیاری از کاربران سرورهای خود را بدون به‌روزرسانی منظم روشن نگه می‌دارند، مهاجمان همچنان از Plex2Shell برای نفوذ به سرورها و نصب ماینر رمزارز استفاده می‌کنند. اگر سرور Plex شما مدت‌ها به‌روزرسانی نشده و به اینترنت متصل است، اکنون زمان مناسبی برای نصب آخرین به‌روزرسانی امنیتی (Security Update) و بررسی نشانه‌های آلودگی است.