Cảnh báo khẩn: Vá ngay Plex Media Server trước khi bị tin tặc tấn công

Các lỗ hổng trong Plex Media Server tưởng chừng đã được vá yên ổn nay đang bị khai thác tích cực ngoài thực tế. Một nhà nghiên cứu phát hiện chuỗi tấn công kết hợp 4 lỗ hổng để chiếm quyền điều khiển thiết bị, sau đó cài mã độc đào tiền ảo và phần mềm proxy dân cư. Nếu bạn đang chạy máy chủ Plex chưa cập nhật, đây là lúc cần hành động ngay.

Chuỗi 4 lỗ hổng mang tên "Plex2Shell"

Plex đã phát hành bản vá cho bốn lỗ hổng vào đầu tháng trước. Ba tuần sau đó, các mã định danh CVE chính thức được công bố, hé lộ tổng cộng năm lỗ hổng, trong đó có một lỗ hổng đạt mức độ nghiêm trọng 8,6/10.

Tuần trước, một nhà nghiên cứu đã công bố chi tiết cách khai thác kết hợp bốn trong số các lỗ hổng này để đạt được thực thi mã từ xa (RCE) trên thiết bị chạy phiên bản Plex dễ bị tổn thương. Chuỗi khai thác này được đặt tên là "Plex2Shell".

Điều đáng lo ngại là các thông tin chi tiết vừa được công bố đã giúp kẻ xấu chế tạo công cụ khai thác trong thời gian rất ngắn.

Honeypot phát hiện tấn công chỉ sau một ngày

Nhờ những chi tiết kỹ thuật được hé lộ, một nhà nghiên cứu khác đã dựng một honeypot — máy chủ Plex giả lập — để theo dõi các nỗ lực khai thác ngoài thực tế. Kết quả thật đáng báo động:

• Chỉ trong vòng một ngày, honeypot đã ghi nhận các đợt quét tự động nhắm vào máy chủ Plex giả lập.
• Sau đó ít lâu, các nỗ lực lây nhiễm thành công bắt đầu xuất hiện.

Cho đến nay, các cuộc tấn công thành công đang cài đặt hai loại payload:

• Phần mềm đào tiền ảo (cryptominer): lợi dụng tài nguyên thiết bị để đào tiền số và chuyển vào ví do kẻ tấn công kiểm soát.
• Phần mềm proxy dân cư: biến máy bị nhiễm thành một trạm trung chuyển, cho phép người khác ẩn danh hoạt động trên Internet (phần lớn là các hoạt động bất hợp pháp) bằng cách định tuyến lưu lượng qua máy nạn nhân.

Người dùng Việt Nam cần làm gì?

Plex Media Server khá phổ biến trong cộng đồng người dùng Việt Nam — từ những ai tự dựng rạp phim tại gia trên NAS, PC cho đến các homelab nhỏ. Nhiều người trong số đó mở cổng Plex ra Internet để xem phim khi đi xa, vô tình tạo điều kiện cho kẻ tấn công tiếp cận.

Các khuyến nghị cụ thể:

• Cập nhật Plex Media Server lên phiên bản mới nhất ngay lập tức. Đây là biện pháp quan trọng nhất.
• Hạn chế mở cổng Plex trực tiếp ra Internet nếu không thực sự cần thiết; ưu tiên truy cập qua VPN hoặc các giải pháp truy cập từ xa an toàn.
• Kiểm tra dấu hiệu bất thường: CPU/GPU tăng cao liên tục khi không sử dụng, lưu lượng mạng ra ngoài lạ, hoặc các tiến trình lạ chạy trên máy chủ.
• Tách biệt máy chủ Plex khỏi các thiết bị chứa dữ liệu quan trọng, lý tưởng nhất là chạy trong container hoặc máy ảo riêng.

Đây không phải lần đầu các thiết bị media server tại gia trở thành mục tiêu của tội phạm mạng. Bài học quen thuộc vẫn vậy: phần mềm tự lưu trữ tuy tiện lợi nhưng đi kèm trách nhiệm vá lỗi thường xuyên — và trong trường hợp của Plex lần này, sự chậm trễ có thể khiến chiếc máy chủ phim của bạn biến thành công cụ đào tiền ảo cho người khác.