Plex 취약점, 암호화폐 채굴기 설치를 위한 실제 공격에 악용 중

취약한 Plex 버전을 실행한 허니팟에서 2026년 10월 17일 실제 취약점 악용과 암호화폐 채굴기 배포가 관측됨 Plex2Shell은 여러 취약점을 연결해 원격 코드 실행을 달성하며, Plex는 앞서 9월 1일 관련 보안 업데이트를 공지함 서로 다른 공격 출발지 IP 3개가 관측됐으며, 허니팟의 외부 통신을 허용한 뒤 별도 서버에서 악성 파일을 내려받는 동작이 확인됨 후속 관측에서는 채굴기뿐 아니라 myawesomeproxy 실행도 확인됐으나, 해당 프로그램에 대한 상세 분석은 아직 수행하지 않음 패킷 캡처와 탐지 자료가 공개됐으나, 초기 외부 통신 차단으로 모든 공격의 페이로드를 확보하지 못해 관측 데이터가 불완전할 수 있음 보안 공지와 Plex2Shell 공개 과정 Plex는 2026년 9월 1일 이메일과 보안 공지를 통해 Plex Media Server v1.43.2 및 이전 버전에 대한 중요 보안 업데이트를 안내함 보안 분야 종사자이자 Plex 사용자인 실험자는 실제 악용 여부를 확인하기 위해 취약한 Plex 버전의 허니팟을 구축함 초기 공지의 상세 정보는 제한적이었고, 추가 정보가 예고됐으나 한동안 확인되지 않음 9월 26일 CVE 목록에서 관련 취약점을 확인했지만, CVSS 점수 9 이상인 항목은 없었음 10월 중순 공개 예정이던 Plex2Shell 분석이 10월 16일 갱신됐으며, 여러 취약점을 연결한 원격 코드 실행 과정을 담고 있음 관련 식별자는 CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656임 공격 코드가 공개됐으며, 별도 실험실 테스트에서 확보한 패킷 캡처도 탐지와 시그니처 개발용으로 제공됨 허니팟에서 확인한 실제 공격 초기에는 주로 스캔과 일반적인 공격 시도가 관측됐으나, 10월 17일 오전 실제 Plex2Shell 악용을 확인함 첫 공격 출발지는 45.194.92.222 였으며, Zeek 로그에 Plex 요청과 Python-urllib/3.10 사용자 에이전트가 남음 요청에는 /player/timeline/subscribe, 로컬 127.0.0.1:32400의 /system/agents/z/searchOne, com.plexapp.agents.thetvdb/function/GetResultFromNetwork 경로가 포함됨 외부 주소로 127.0.0.1.45-194-92-222.sslip.io와 포트 8952를 사용하는 ...