Varias vulnerabilidades de Plex Media Server están siendo utilizadas para entrar en ordenadores y servidores sin autorización y emplearlos para minar criptomonedas. Los ataques afectan a la versión 1.43.2 del programa y a las anteriores, especialmente cuando el servidor multimedia está expuesto a internet.
El problema reúne cuatro fallos de seguridad conocidos como Plex2Shell. Su explotación permite ejecutar órdenes de forma remota sin que el atacante tenga que iniciar sesión. Los detalles técnicos del método se hicieron públicos el 16 de octubre y, apenas un día después, los investigadores detectaron los primeros ataques.
Monero y uso de los recursos de las víctimas
Una vez que consiguen acceso, los atacantes pueden instalar diferentes herramientas. Entre ellas figura XMRig, un programa utilizado para minar criptomonedas como Monero (XMR). En lugar de asumir el coste de los equipos y de la electricidad, los ciberdelincuentes trasladan ese consumo a los ordenadores de sus víctimas y se quedan con los ingresos generados.
La actividad puede pasar desapercibida durante un periodo prolongado. El usuario puede notar únicamente que el equipo funciona más despacio, se calienta con mayor frecuencia o registra un aumento inesperado del consumo eléctrico. Ninguno de estos indicios confirma por sí solo una infección, pero sí puede justificar una revisión del sistema.
Los investigadores también han observado otros usos de los sistemas comprometidos. Algunos atacantes instalan programas capaces de redirigir tráfico de internet a través de la conexión de la víctima. De este modo, aprovechan tanto la capacidad de procesamiento del equipo como su conexión de red.
Qué versiones están afectadas
Plex ya ha publicado una actualización para corregir estos fallos. La versión mínima recomendada es la 1.43.3.10861; las versiones posteriores también protegen frente a este método de ataque concreto. El número de versión puede consultarse desde los ajustes de Plex Media Server.
El riesgo alcanza a equipos con Windows, macOS y Linux que utilicen una versión vulnerable. También se han recibido avisos relacionados con dispositivos de almacenamiento de QNAP. En este caso, el problema no afecta al hardware de QNAP en sí, sino a las versiones antiguas de Plex instaladas en esos dispositivos.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incluyó el 20 de octubre las cuatro vulnerabilidades en su catálogo de fallos explotados activamente. La incorporación confirma que no se trata solo de un riesgo teórico, aunque todavía no se conoce el número exacto de sistemas afectados.
Actualizar no elimina una posible infección
Instalar el parche es necesario, pero puede no ser suficiente si el atacante ya ha entrado en el sistema. La actualización corrige la vía de acceso, pero no elimina automáticamente los programas maliciosos que se hayan instalado previamente.
QNAP recomienda revisar si hay procesos o programas desconocidos en ejecución y, si existen indicios de compromiso, realizar una reinstalación limpia y cambiar las contraseñas. También aconseja desactivar el acceso remoto a Plex cuando no sea necesario. Los usuarios que solo utilizan el servidor en casa para reproducir películas, series o música normalmente no necesitan mantenerlo accesible desde internet.
Plex Media Server permite acceder a una biblioteca multimedia propia desde televisores, teléfonos y otros dispositivos. Precisamente esa posibilidad de acceso remoto amplía la superficie expuesta cuando se mantiene una versión vulnerable conectada a internet.
