[Aktualizacja: Poprawione] Hakerzy mogą zmienić Twój serwer Plex w potężny botnet DDOS
Jeśli podoba Ci się pomysł stworzenia własnego „Netflixa" lub „Spotify” z wielu płyt DVD i CD, które leżą wokół, Plex jest jedną z najlepszych i najpiękniejszych opcji, jakie możesz wybrać. Ale, jak ujawniła firma Netscout, Twój Plex Media Server może już być narzędziem w następnym potężnym ataku DDOS.
Aktualizacja: Krótko po opublikowaniu, Carm Lyman, rzecznik Plex, wydał następujące oświadczenie:
Badacze, którzy zgłosili ten problem, nie przedstawili żadnego wcześniejszego ujawnienia, ale Plex jest teraz świadomy problemu i aktywnie pracuje nad jego rozwiązaniem. Wydaje się, że ten problem jest ograniczony do niewielkiej liczby właścicieli serwerów multimedialnych, którzy błędnie skonfigurowali swoje zapory, zezwalając na ruch UDP na portach wykrywania urządzeń z publicznego Internetu, aby dotrzeć do ich serwerów. zagrażać bezpieczeństwu lub prywatności dowolnego użytkownika Plex. Plex testuje prostą łatkę, która dodaje dodatkową warstwę ochrony dla tych serwerów, które mogły zostać przypadkowo ujawnione i wkrótce ją wyda.
Zaktualizujemy ten artykuł, gdy tylko łatka będzie dostępna.
Druga aktualizacja: łatka jest już dostępna. Plex dołączył następującą notatkę na temat poprawki:
„(Bezpieczeństwo) Zapobiegaj potencjalnemu wzmocnieniu DDoS, odpowiadając tylko na żądania UDP z sieci LAN”.
Atak typu Distributed Denial of Service (DDOS) polega na zalaniu witryny lub usługi ruchem. Przytłaczający wzrost może spowodować, że usługa nie będzie przygotowana do radzenia sobie z falą ruchu. Jednym z głównych powodów, dla których ataki DDOS nie są bardziej powszechne niż są, jest to, że źli aktorzy potrzebują zasobów do wysyłania całego tego ruchu.
W tym miejscu do gry wkraczają Plex Media Servers. Hakerzy wykorzystują podatne na ataki Plex Media Servers, aby wzmocnić słaby atak DDOS w potężny atak DDOS. Pomysł nie jest nowy: zamiast wysyłać niewielką ilość ruchu, który źli gracze mogą zarządzać samodzielnie, bezpośrednio do ostatecznego celu, kierują go na podatne na ataki serwery.
Kiedy wysyłają żądania do podatnego serwera, odpowie on odpowiedzią. To ważne, ponieważ „odpowiedź” często sprowadza się do większej ilości danych niż pierwotne żądanie. Hakerzy następnie nakłaniają podatny serwer do wysłania odpowiedzi do zamierzonego celu — to znaczy sprawiają wrażenie, jakby żądanie pochodziło ze strony, którą haker chce usunąć. W ten sposób niewielki ruch zostaje wzmocniony w ogromny ruch, dzięki czemu atak DDOS jest potężniejszy.
Według Netscout hakerzy postanowili zapętlić w tym procesie serwery Plex Media. Domyślnie po skonfigurowaniu Plex Media Server używa on protokołu GDM (G’Day Mate) do wykrywania innych urządzeń w sieci zgodnych z Plex.
Jeśli podczas tego skanowania wykryje, że router obsługuje protokół UPNP (Universal Plug and Play) i SDDP (protokół wykrywania usług), automatycznie skonfiguruje router do zdalnego dostępu. Jest to czynnik wygody, który pozwoli Ci oglądać treści Plex, nawet gdy jesteś poza domem.
Niestety, ta wygoda podwaja się jako luka w zabezpieczeniach — sprawia, że serwery Plex są przewidywalnym celem ataku DDOS. Haker wysyła małe żądanie (około 52 bajtów) przez port Plex utworzony na twoim serwerze. Serwer odpowiada pakietem danych o wielkości około 281 bajtów, prawie pięciu tak dużych, jak pierwotny atak.
Według Netscout odkryto dowody na to, że hakerzy już wykorzystali tę lukę i to już od listopada. Kiedy firma zajmująca się bezpieczeństwem przeskanowała Internet, znalazła ponad 27 000 serwerów Plex Media Server otwartych na atak.
Skontaktowaliśmy się z Plex w celu uzyskania komentarza, ale jeszcze nie otrzymaliśmy odpowiedzi. Na forach Plex pracownik odpowiedział na wątek sugerujący zmianę domyślnych ustawień portów w celu złagodzenia ataku:
Znamy te doniesienia i przyglądamy się im bliżej. Nie byliśmy świadomi tego na zaawansowanym etapie, więc nie mamy teraz więcej informacji niż reszta z was. Zmiana portów może być środkiem łagodzącym – ale z pewnością jest to zabezpieczenie przez ukrycie. Zaktualizujemy fora, gdy dowiemy się więcej.
Według pracownika Netscout nie ujawnił odpowiednio informacji Plexowi przed opublikowaniem raportu. Zmiana domyślnego portu może złagodzić problem, ale hakerzy mogą prawdopodobnie dostosować swój atak, aby uwzględnić to działanie. W tej chwili jedynym realnym rozwiązaniem jest wyłączenie SDDP na routerze i gra zdalna na serwerze Plex. Ale w tym procesie stracisz jedną z najlepszych funkcji Plex.
Zaktualizujemy ten post, jeśli usłyszymy od Plexa o stałej poprawce, która utrzymuje funkcje gry zdalnej.
Źródło: Netscout za pośrednictwem ZDNet