Après les attaques contre des serveurs Plex non corrigés, QNAP a reçu plusieurs signalements de compromissions présumées sur ses NAS. Le fabricant vient de publier une alerte de sécurité et des consignes à destination de ses clients.
En octobre, des pirates avaient commencé à détourner des serveurs Plex Media Server pour miner des cryptomonnaies et relayer du trafic Internet. L'éditeur avait alors confirmé l'exploitation d'une chaîne de quatre failles de sécurité baptisée Plex2Shell. Trois semaines plus tard, QNAP a fait état de plusieurs signalements de clients dont les installations Plex semblent avoir été compromises sur leurs NAS. Son équipe d'assistance a pris en charge les dossiers concernés et n'a, pour le moment, constaté aucune perte de données.
BenQ iScreenBar : la barre lumineuse qui s’accorde avec l’iMac
Des lignes en harmonie avec celles de l’ordinateur d’Apple, une conception rigoureuse, des matériaux sélectionnés, rien n’a été laissé au hasard, tout comme le service qu’elle rend une fois allumée !
Mettre Plex à jour sans attendre, puis vérifier son NAS
Pour rappel, Plex2Shell permet à un attaquant distant d'exécuter du code sans identifiant ni mot de passe sur un serveur Plex vulnérable. Les failles touchent les versions 1.43.2 et antérieures de l'application, et non les systèmes d'exploitation QTS et QuTS hero de QNAP.
Le fabricant a donc exhorté ses clients à installer Plex Media Server 1.43.3.10861 ou une version plus récente, disponible dans son App Center. Le correctif bloque l'exploitation des failles, mais ne supprime pas les programmes malveillants que les pirates ont pu déposer avant son application.
Le risque concerne essentiellement les NAS dont le serveur Plex était accessible depuis Internet avant l’installation du patch. Leurs propriétaires ont donc été invités à rechercher d’éventuelles traces d’intrusion : processus inconnus, fichiers suspects dans le répertoire Codecs ou consommation anormale du processeur.
La procédure prévoit aussi de désinstaller puis de réinstaller Plex, en supprimant les fichiers de l'ancien dossier Codecs, susceptibles de contenir du code malveillant, ainsi que de renouveler les identifiants qui auraient pu être exposés.
À l'inverse, si Plex n'a jamais été accessible depuis Internet, l'installation du correctif règle le problème. QNAP a toutefois conseillé de désactiver les accès distants inutiles et de passer par un VPN pour consulter sa bibliothèque multimédia hors de chez soi.
Les NAS, des cibles de choix pour les pirates
On en profitera pour rappeler que Plex n'est pas le seul service qu'un NAS peut rendre accessible depuis Internet. Les interfaces d'administration, les outils de partage de fichiers et les autres applications installées peuvent aussi être visés par les pirates lorsqu'ils présentent des failles non corrigées.
Si QNAP n'a fait état d'aucune perte de données dans les cas examinés, les conséquences ont été bien plus lourdes lors des récentes attaques contre les NAS Synology. En exploitant des vulnérabilités du système DSM sur des appareils non mis à jour, les pirates ont déployé le ransomware C3RB3R, chiffré les fichiers de leurs victimes et réclamé plusieurs milliers de dollars pour leur restitution.
Or, un NAS héberge souvent les photos, les documents personnels et les sauvegardes de plusieurs ordinateurs. Lorsque toutes les copies sont réunies sur le même appareil, une seule attaque peut rendre l'ensemble inaccessible. Installer les correctifs à temps réduit le risque d'intrusion ; conserver une sauvegarde indépendante, sur un support déconnecté ou dans un espace protégé, permet de récupérer ses données si les pirates parviennent malgré tout à les chiffrer.
