هشدار امنیتی به کاربران پلکس؛ هکرها با زنجیره نفوذ ساخته‌شده توسط هوش مصنوعی حمله می‌کنند

به گفته یک پژوهشگر امنیتی، آسیب‌پذیری‌هایی در «سرور رسانه‌ای پلکس» (Plex Media Server) که اخیراً وصله شده بودند، اکنون هدف حملات فعال هکرها قرار گرفته‌اند؛ نفوذهایی که در صورت موفقیت، بدافزارهای استخراج رمزارز و برنامه‌های پروکسی مسکونی (Residential Proxy) را روی دستگاه قربانی نصب می‌کنند.

تیم توسعه‌دهنده پلکس در ابتدای ماه گذشته چهار رخنه امنیتی را برطرف کرد. سه هفته بعد، شناسه رخنه‌های منتشرشده در فهرست CVE از وجود پنج آسیب‌پذیری پرده برداشت که نمره شدت یکی از آن‌ها به ۸٫۶ از ۱۰ می‌رسید. در ادامه هفته گذشته، یک محقق امنیتی اکسپلویت تازه‌ای را افشا کرد که با زنجیر کردن چهار مورد از این آسیب‌پذیری‌ها به یکدیگر، امکان اجرای کد از راه دور (RCE) را روی دستگاه‌های مجهز به نسخه‌های آسیب‌پذیر پلکس فراهم می‌آورد؛ زنجیره‌ای که این پژوهشگر آن را «Plex2Shell» نامیده است.

زنجیره پیچیده نفوذ و هدف قرار گرفتن سرورها

انتشار جزئیات فنی این آسیب‌پذیری‌ها به پژوهشگر دیگری امکان داد تا یک هانی‌پات (تله امنیتی) راه‌اندازی کند و تلاش‌های مهاجمان در دنیای واقعی برای بهره‌برداری از این زنجیره رخنه را زیر نظر بگیرد. تنها ظرف ۲۴ ساعت، پویش‌های فعال علیه سرور شبیه‌سازی‌شده پلکس آغاز شد و در نهایت تلاش‌هایی برای آلوده‌سازی دستگاه‌ها به ثمر نشست. تا این لحظه، نفوذهای موفق دو نوع پی‌لود (بار مخرب) را مستقر می‌کنند؛ پی‌لود نخست یک ماینر رمزارز است که توان پردازشی دستگاه را برای استخراج ارز دیجیتال و انتقال آن به کیف پول مهاجم به کار می‌گیرد. پی‌لود دوم نرم‌افزار پروکسی مسکونی است که به افراد ناشناس اجازه می‌دهد با اتصال به دستگاه آلوده و عبور دادن ترافیک اینترنتی خود از آن، فعالیت‌های آنلاین (که بخش عمده‌ای از آن‌ها غیرقانونی است) را ناشناس نگه دارند.

پژوهشگر دوم در تحلیل خود نوشت: «سرور پلکس معمولاً روی نشانی‌های آی‌پی خانگی میزبانی می‌شود و هکرها علاقه زیادی دارند تا به پروکسی‌های مسکونی دست یابند و از طریق آن‌ها به شبکه‌های خصوصی، ایمیل‌ها و VPN سازمانی دسترسی پیدا کنند.»

زنجیره اکسپلویت منتشرشده بخشی از یک سناریوی اثبات مفهوم (PoC) بود که پژوهشگر اول هنگام ارسال گزارش باگ به تیم پلکس ارائه کرد. این کد پیچیده مجموعه‌ای از مراحل شامل جعل درخواست سمت سرور بدون احراز هویت (SSRF)، انتقال ترافیک به رابط محلی (Loopback Pivot)، سرقت توکن امنیتی، تحویل پی‌لود و در نهایت اجرای کد مخرب را به انجام می‌رساند. کاشف این آسیب‌پذیری اعلام کرده که برای توسعه این زنجیره اکسپلویت، به شکلی گسترده از هوش مصنوعی بهره برده است؛ فرآیندی که مراحل زیر را شامل می‌شد:

1. شناسایی (Recon): تجزیه سیستم به بخش‌های منطقی و ترسیم تمام مسیرها از ورودی کاربر تا نقاط حساس و خطرناک (Sinks).
2. کاوش آسیب‌پذیری (Hunt): جستجوی متمرکز برای یافتن رخنه‌ها در هر بخش به‌صورت جداگانه.
3. اعتبارسنجی (Verify): ایجاد یک ایجنت هوش مصنوعی جداگانه برای رد فرضیات و ابطال یافته‌ها؛ اگر این ایجنت نتواند باگ را رد کند، احتمالاً با یک آسیب‌پذیری واقعی روبه‌رو هستیم.
4. اتصال زنجیره‌ای (Chain): پیوند دادن یافته‌ها و کشف مسیر نفوذ یکپارچه.

این محقق در یادداشت خود توضیح می‌دهد: «ماجرا این نبود که صرفاً به یک مدل زبانی بزرگ بگوییم برو پلکس را هک کن؛ بلکه ساعت‌ها کار مداوم، مواجهه با بن‌بست‌ها و اولویت‌بندی دوباره نیاز بود. تمام تصمیم‌گیری‌ها درباره اینکه دنبال چه چیزی بگردیم و چه اولویتی تعیین کنیم بر عهده خودم بود. مدل زبانی سرعت این فرآیند را به‌شدت افزایش داد و به من اجازه داد در سطح کلان باقی بمانم و صرفاً بر روند کار نظارت و هدایت کنم.»

نمایندگان شرکت پلکس هنوز به پرسش‌های مطرح‌شده درباره این رخنه پاسخی نداده‌اند.

تمامی کاربرانی که از پلکس استفاده می‌کنند باید مطمئن شوند که سرور آن‌ها به نسخه ۱٫۴۳٫۳ به‌روزرسانی شده است. این نرم‌افزار می‌تواند طوری تنظیم شود که آپدیت‌ها را به‌صورت خودکار نصب کند؛ با این حال کاربران قادرند بسته به‌روزرسانی را به‌طور دستی نیز دانلود و نصب نمایند. با توجه به سوءاستفاده‌های فعال، نسخه‌های قدیمی باید بلافاصله ارتقا یابند. افزون بر این، کاربران باید دقت ویژه‌ای به ارتقای امنیت سرورهای رسانه‌ای خود داشته باشند. ایمن‌ترین رویکرد، محدود کردن دسترسی سرور صرفاً به شبکه محلی بدون اتصال به اینترنت عمومی است؛ هرچند این کار مانع از استفاده از برخی قابلیت‌های کاربردی می‌شود. در صورت نیاز به اتصال دستگاه به اینترنت، یک راهکار مؤثر، هدایت ترافیک از طریق یک پروکسی معکوس به‌جای پورت پیش‌فرض ۳۲۴۰۰ است. همچنین توصیه می‌شود کاربران تنها از برنامه‌های امن پلکس استفاده کرده و حتماً رمزهای عبور قدرتمند برگزینند.