Están aprovechando fallos de seguridad en Plex Media Server para instalar malware de minería de criptomonedas. Un investigador registró ataques exitosos el 17 de octubre de 2026, utilizando el exploit público Plex2Shell, el cual encadena cuatro vulnerabilidades para ejecutar código sin necesidad de iniciar sesión. También se ha detectado la ejecución de software de proxy junto al malware.

Explotando fallos en Plex Media Server para instalar malware de minería de criptomonedas; un investigador registró ataques exitosos contra un honeypot el 17 de octubre de 2026.

Esta actividad surge tras el lanzamiento de Plex2Shell, un exploit público que encadena cuatro vulnerabilidades para ejecutar código sin necesidad de iniciar sesión. Observaciones posteriores también revelaron software de proxy ejecutándose junto al minero.

Los hallazgos de Boredhackerblog muestran la explotación activa de un servidor de prueba expuesto, en lugar de un simple escaneo. Sin embargo, la evidencia disponible no establece cuántos servidores reales han sido comprometidos ni identifica a los atacantes detrás de la actividad. El investigador también advirtió que las restricciones en el tráfico saliente impidieron inicialmente la recolección de algunas cargas útiles.

Cómo funciona el exploit Plex2Shell

Plex anunció actualizaciones de seguridad el 1 de septiembre, instando a los usuarios a instalar Plex Media Server 1.43.3 y Plex Desktop 1.115.0. Su aviso oficial de seguridad advirtió que los usuarios de NAS podrían necesitar instalar las actualizaciones manualmente.

El exploit combina las vulnerabilidades CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. Según el repositorio de Plex2Shell, la cadena comienza con una falsificación de solicitud del lado del servidor (SSRF), que engaña a Plex para que envíe solicitudes elegidas por un atacante. Luego, alcanza funciones internas, obtiene acceso a solicitudes autorizadas por el propietario y escribe un archivo en una ubicación seleccionada por el atacante.

La etapa final abusa de la carga de un códec no firmado para ejecutar código. El repositorio identifica que las versiones anteriores a la 1.43.3.10828 son vulnerables y enumera la 1.43.3.10861 como corregida. Aunque el exploit es compatible con objetivos en Linux y Windows, la actividad reportada en el honeypot involucró un despliegue de Plex basado en Linux ejecutándose en Docker.

El honeypot captura actividad de mineros y proxies

En el informe del investigador, el primer intento de explotación provino de 45.194.92[.]222. Intentos posteriores involucraron a 91.92.40[.]202 y 176.65.139[.]228. Las solicitudes registradas apuntaban a /player/timeline/subscribe e incluían referencias a servicios internos de Plex, un nombre de host sslip.io y el agente de usuario Python-urllib/3.10.

Después de habilitar el acceso saliente, el investigador observó descargas desde 217.60.194[.]116 que involucraban archivos llamados docker y x. Los artefactos publicados incluyeron muestras empaquetadas y desempaquetadas, seguidas de un minero XMRig. Un uso indebido similar de XMRig ha aparecido en otras campañas, incluyendo ataques contra servidores Redis expuestos.

Una actualización también informó sobre un proceso llamado myawesomeproxy y tráfico relacionado con proxystream[.]st. El programa mostraba un mensaje sobre el uso externo del tráfico de internet del dispositivo. Estas observaciones generan preocupación sobre el abuso de proxies, pero no establecen quién opera esta campaña de Plex ni prueban una conexión con una botnet específica.

Si eres administrador, debes instalar la última versión de Plex y verificar la versión en ejecución, particularmente en sistemas NAS y despliegues de Docker. En Linux, revisa el árbol de procesos de Plex en busca de procesos hijos inesperados, descargas sospechosas y programas de minería o proxy desconocidos. El investigador recomienda examinar los procesos con ps axjf.

Puedes utilizar las capturas de paquetes publicadas para desarrollar detecciones. Los archivos marcados como “lab” provienen de pruebas controladas, no de ataques reales. El repositorio también advierte que los atacantes pueden cambiar puertos, dominios y nombres de archivos, por lo que basarte solo en indicadores fijos dejará huecos en la detección.