Plex warnt: Hacker nutzen fremde Computer zum Krypto-Mining

Hacker nutzen schwere Sicherheitslücken in Plex Media Server aus, um auf fremden Computern heimlich Kryptowährungen zu schürfen. Gefährdet sind Nutzer, die ihre Software nicht aktualisiert haben.

Angreifer können sogar ohne Passwort in verwundbare Systeme eindringen. Sicherheitsforscher warnen, dass ein einfaches Software-Update nicht immer ausreicht, um die Hacker wieder aus dem System zu entfernen.

Hacker missbrauchen Computer ihrer Opfer für Kryptomining

Die Angriffe richten sich gegen Plex Media Server. Mit der beliebten Software lassen sich eigene Filme, Serien und Musik etwa auf einem Fernseher oder Smartphone abspielen.

Forscher entdeckten vier Sicherheitslücken, die unter dem Namen Plex2Shell zusammengefasst werden. Durch die Kombination dieser Schwachstellen können Hacker aus der Ferne Befehle auf einem Computer oder Server ausführen, ohne sich zuvor anmelden zu müssen.

Am 16. Oktober wurden die technischen Details der Angriffsmethode veröffentlicht. Bereits einen Tag später wurden die ersten Angriffe beobachtet.

Nach dem Eindringen installieren die Hacker unter anderem XMRig. Mit diesem Programm lassen sich Kryptowährungen wie Monero (XMR) schürfen.

Normalerweise nutzen Kryptominer eigene Hardware und tragen die anfallenden Stromkosten selbst. Die Hacker hingegen lassen die Computer ihrer Opfer arbeiten und behalten die Erträge.

Für die Besitzer kann der Angriff lange unbemerkt bleiben. Mitunter gibt es nur unauffällige Anzeichen: Der Computer wird langsamer, läuft häufiger heiß oder verbraucht plötzlich mehr Strom.

Die Angreifer beschränken sich zudem nicht auf Kryptomining. Forscher beobachteten auch, dass sie Software installieren, mit der sich Internetverkehr über den Anschluss des Opfers umleiten lässt.

So können die Hacker neben der Rechenleistung auch den Internetanschluss ihrer Opfer nutzen.

Plex-Nutzer sollten ihre Software dringend aktualisieren

Die Sicherheitslücken betreffen Plex Media Server bis einschließlich Version 1.43.2. Besonders gefährdet sind Nutzer, deren Medienserver über das Internet erreichbar ist.

Die US-Cybersicherheitsbehörde CISA nimmt die Bedrohung ernst. Am 20. Oktober nahm sie alle vier Schwachstellen in ihre offizielle Liste der Sicherheitslücken auf, die nachweislich aktiv von Hackern ausgenutzt werden.

Auch QNAP, ein Hersteller von Netzwerkspeichern für Privathaushalte und Unternehmen, hat Meldungen von Nutzern erhalten, deren Systeme vermutlich gehackt wurden.

Das Problem liegt nicht bei den QNAP-Geräten selbst, sondern bei veralteten Plex-Versionen, die darauf laufen. Auch Computer mit Windows, macOS und Linux können verwundbar sein, wenn sie die betroffene Software verwenden.

Plex hat inzwischen ein Sicherheitsupdate veröffentlicht. Nutzer sollten prüfen, ob mindestens Version 1.43.3.10861 installiert ist. Neuere Versionen schützen ebenfalls vor dieser konkreten Angriffsmethode.

Wer Plex auf einem Computer oder Heimserver nutzt, kann die Versionsnummer in den Einstellungen von Plex Media Server prüfen.

Ein Update allein reicht nicht immer aus

Nutzer älterer Versionen sollten die Software möglichst schnell aktualisieren. Allerdings entfernt ein Update keine Schadsoftware, die Hacker bereits auf dem System installiert haben.

QNAP empfiehlt Nutzern möglicherweise betroffener Systeme deshalb, nach unbekannten laufenden Programmen zu suchen. Bei Verdacht auf einen Befall rät der Hersteller zu einer sauberen Neuinstallation. Auch die Passwörter sollten geändert werden.

Zudem empfiehlt es sich, den Fernzugriff auf Plex zu deaktivieren, wenn er nicht benötigt wird. Das erschwert es Angreifern, den Medienserver über das Internet zu erreichen.

Wer seinen Plex-Server ausschließlich nutzt, um zu Hause Filme und Serien anzusehen, braucht diesen Fernzugriff häufig nicht.

Wie viele Systeme betroffen sind, ist bislang unklar. Sicherheitsforscher und Hersteller bestätigen jedoch, dass die Schwachstellen tatsächlich für Kryptomining und andere unerwünschte Aktivitäten ausgenutzt werden.