// CLUBIC — CYBERSECURITY
Des hackers détournent des serveurs Plex non mis à jour pour miner des cryptos, le vôtre est-il en danger ?
Plus de deux mois après la publication des correctifs, des pirates exploitent plusieurs failles de Plex Media Server. Les machines compromises servent à miner des cryptomonnaies, mais aussi à relayer du trafic Internet à l'insu de leurs propriétaires.
Début septembre, Plex appelait une nouvelle fois ses utilisateurs et utilisatrices à installer une mise à jour de sécurité sur leurs serveurs multimédias. Si l'éditeur se montrait discret sur la nature des vulnérabilités corrigées, il ne faisait alors état d'aucune exploitation active. C'est désormais chose faite depuis la publication, le 16 octobre dernier, d'un code permettant d'exploiter quatre de ces failles pour exécuter du code à distance sur un serveur, sans authentification. Dès le lendemain, un chercheur observait des tentatives d'intrusion sur un serveur leurre, tandis que des propriétaires d'installations non patchées signalaient à leur tour des activités suspectes.
Baptisée Plex2Shell, cette méthode d'attaque repose sur l'enchaînement de quatre vulnérabilités, référencées CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. Leur exploitation combinée permet de contourner les contrôles d'accès de Plex, de récupérer le jeton d'administration du serveur, puis d'y déposer un fichier malveillant que le logiciel exécutera avec les privilèges du processus Media Server.
Le chercheur Zach Main avait signalé ces failles à Plex dès le 27 juillet, permettant à l'éditeur de les corriger le 4 août dans Media Server 1.43.3.10861. De son côté, l'auteur de BoredHackerBlog avait déployé, en septembre, un serveur Plex volontairement vulnérable et accessible depuis Internet, afin de surveiller d'éventuelles attaques. Pendant plusieurs semaines, il n'y avait relevé que des scans et des tentatives d'exploitation génériques, jusqu'à l'apparition de requêtes correspondant à la méthode Plex2Shell.
Ces tentatives provenaient d'au moins trois adresses IP distinctes. En modifiant la configuration de son serveur leurre pour autoriser les connexions sortantes, le chercheur a également pu observer le téléchargement de fichiers malveillants et récupérer plusieurs échantillons pour les examiner. Le 19 octobre, Plex a confirmé que les vulnérabilités faisaient désormais l'objet d'attaques généralisées contre les installations non corrigées, sans préciser combien de serveurs avaient été compromis.
Parmi les fichiers récupérés par BoredHackerBlog figure une version de XMRig, un logiciel de minage de cryptomonnaies que les pirates installent sous le nom de mylovelyminer. Une fois lancé, il exploite les ressources du processeur pour générer des revenus à leur profit, au prix d'une dégradation des performances de la machine et d'une hausse de sa consommation électrique. Sur Reddit, plusieurs témoignages abondent dans ce sens, des propriétaires de serveurs Plex rapportant avoir découvert des processus de minage sur leurs installations, parfois après avoir constaté une utilisation anormalement élevée du processeur.
Les investigations ont également révélé la présence d'un second programme, baptisé myawesomeproxy, dont la fonction est bien différente. Associé à des communications vers le domaine proxystream.st, ce logiciel permet de faire transiter le trafic Internet de tiers par le serveur compromis. Les pirates peuvent ainsi utiliser l'adresse IP de leur victime comme relais, et masquer l'origine réelle de leurs connexions. Un détournement particulièrement intéressant lorsque le serveur utilise une adresse IP résidentielle, susceptible d'inspirer davantage confiance à certains services en ligne.
Face à ces compromissions, Plex recommande de vérifier sans attendre la version de Media Server, mais aussi de rechercher d'éventuels processus suspects, des fichiers inconnus dans le répertoire Codecs ou une consommation anormale du processeur. Pour les installations déjà infectées, une simple mise à jour ne suffit pas : l'éditeur préconise de réinstaller le serveur sur un environnement propre, de