Hackers gebruiken jouw computer om crypto te minen: Plex waarschuwt

Hackers maken misbruik van ernstige beveiligingslekken in Plex Media Server om stiekem cryptomunten te minen op computers van anderen. Gebruikers die hun software niet hebben bijgewerkt, lopen risico.

Aanvallers kunnen kwetsbare systemen zelfs binnendringen zonder wachtwoord. Beveiligingsonderzoekers waarschuwen dat een gewone software-update niet altijd voldoende is om de hackers buiten de deur te krijgen.

Hackers gebruiken computers van slachtoffers voor cryptomining

De aanvallen richten zich op Plex Media Server, populaire software waarmee mensen hun eigen films, series en muziek kunnen bekijken op bijvoorbeeld een televisie of smartphone.

Onderzoekers ontdekten vier beveiligingslekken die samen bekendstaan als Plex2Shell. Door deze kwetsbaarheden te combineren, kunnen hackers op afstand opdrachten uitvoeren op een computer of server, zonder eerst te hoeven inloggen.

Op 16 oktober werden de technische details van de aanvalsmethode openbaar gemaakt. Een dag later werden al de eerste aanvallen waargenomen.

Eenmaal binnen installeren de hackers onder meer XMRig, een programma waarmee cryptomunten zoals Monero (XMR) kunnen worden gemined.

Normaal gesproken gebruiken cryptominers hun eigen apparatuur en betalen ze zelf voor de benodigde elektriciteit. Deze hackers doen dat anders. Ze laten de computers van hun slachtoffers het werk uitvoeren en strijken zelf de opbrengsten op.

Voor de eigenaar kan de aanval lange tijd onopgemerkt blijven. Soms zijn er alleen kleine signalen, zoals een computer die trager wordt, vaker warm aanvoelt of plotseling meer stroom verbruikt.

De aanvallers beperken zich bovendien niet tot cryptomining. Onderzoekers zagen ook dat ze software installeren waarmee ze internetverkeer via de verbinding van het slachtoffer kunnen omleiden.

Zo kunnen hackers niet alleen de rekenkracht, maar ook de internetverbinding van iemand anders gebruiken.

Plex-gebruikers moeten software dringend bijwerken

De beveiligingslekken zitten in Plex Media Server versie 1.43.2 en ouder. Vooral mensen die hun mediaserver vanaf het internet bereikbaar hebben gemaakt, lopen risico.

De Amerikaanse cyberveiligheidsdienst CISA neemt de dreiging serieus. Op 20 oktober werden alle vier de kwetsbaarheden toegevoegd aan de officiële lijst met beveiligingslekken waarvan bekend is dat hackers ze actief misbruiken.

Ook QNAP, een fabrikant van apparaten waarmee mensen thuis of op kantoor bestanden opslaan, heeft meldingen ontvangen van gebruikers bij wie systemen vermoedelijk zijn gehackt.

Het probleem zit niet in de apparaten van QNAP zelf, maar in verouderde versies van Plex die daarop draaien. Ook computers met Windows, macOS en Linux kunnen kwetsbaar zijn als ze de betreffende software gebruiken.

Plex heeft inmiddels een beveiligingsupdate uitgebracht. Gebruikers moeten controleren of ze minimaal versie 1.43.3.10861 hebben geïnstalleerd. Een nieuwere versie is ook veilig tegen deze specifieke aanvalsmethode.

Wie Plex gebruikt op een computer of thuisserver, kan het versienummer controleren via de instellingen van Plex Media Server.

Alleen een update installeren is niet altijd genoeg

Voor gebruikers die nog een oude versie draaien, is snel bijwerken belangrijk. Maar er zit een probleem aan: als hackers al zijn binnengedrongen, verdwijnt hun schadelijke software niet automatisch na een update.

QNAP adviseert gebruikers van mogelijk getroffen systemen daarom om te controleren of er onbekende programma’s actief zijn. Bij een vermoedelijke besmetting raadt de fabrikant een schone herinstallatie aan en moeten wachtwoorden worden gewijzigd.

Ook is het verstandig om externe toegang tot Plex uit te schakelen wanneer die niet nodig is. Daarmee wordt het voor aanvallers moeilijker om de mediaserver via het internet te bereiken.

Wie zijn Plex-server alleen gebruikt om thuis films en series te kijken, heeft die externe toegang vaak niet nodig.

Het is nog niet bekend hoeveel systemen precies zijn getroffen. Wel bevestigen beveiligingsonderzoekers en fabrikanten dat de beveiligingslekken daadwerkelijk worden misbruikt voor cryptomining en andere ongewenste activiteiten.