플렉스 Plex2Shell, PoC 공개 하루 만에 실전 공격…채굴기·리눅스 백도어 심었다

가정용 미디어 서버로 널리 쓰이는 플렉스 미디어 서버(Plex Media Server)의 취약점 4개를 엮은 공격 기법 ‘Plex2Shell’이 실제 공격에 쓰이기 시작했다. 연구자가 기술 분석과 개념증명(PoC·취약점이 실제로 작동함을 보이는 시험용 코드)을 10월 16일(현지시각) 공개한 지 하루 만이다. 공격자들은 암호화폐 채굴 프로그램과 리눅스용 리버스 프록시(감염 기기를 경유지로 삼는 중계 프로그램)를 심었다.

취약점은 이미 패치가 나온 상태였다. 그런데도 업데이트하지 않은 서버가 많아 피해 우려가 커지고 있다.

공개 하루 만에 시작된 실전 공격

Plex2Shell을 처음 분석한 사람은 보안 연구자 잭 메인(Zach Main)이다. 온라인에서는 ZM이라는 이름을 쓴다. 메인은 10월 16일 분석 글과 PoC 코드를 함께 올리며 “서버를 패치하라”고 당부했다. 시큐리티위크(SecurityWeek)에 따르면 이 취약점 묶음은 유효한 자격 증명 없이도 노출된 서버에서 임의의 코드를 실행할 수 있게 한다. 코드는 플렉스 서비스와 같은 권한으로 돌아간다.

실제 공격은 별도의 연구자가 운영한 허니팟(해커를 유인해 관찰하려고 일부러 취약하게 만든 미끼 서버)에서 포착됐다. 블로그 보어드해커블로그(boredhackerblog)를 운영하는 이 연구자는 구버전 플렉스를 인터넷에 노출해 뒀다. 10월 17일 이전에는 정찰성 스캔과 일반적인 공격 시도가 대부분이었다고 한다. 이 연구자는 “오늘 아침(10월 17일) 마침내 실제 악용을 확인했다”고 적었다.

공격자는 메인이 깃허브에 공개한 코드를 사용한 것으로 파악됐다. 다만 연구자는 코드나 수법이 조금 변형됐을 가능성도 있다고 단서를 달았다. 허니팟은 기본적으로 외부로 나가는 트래픽을 막아 두는데, 취약점 작동 방식 때문에 설정을 바꿔야 했다. 그래서 모든 공격의 페이로드(악성 실행 코드)를 확보하지는 못했다.

4개 취약점이 만드는 원격 코드 실행 경로

연쇄에 쓰이는 취약점은 CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656이다. The Hacker News에 따르면 점수는 각각 5.3, 6.9, 5.3, 8.6(CVSS)이다. 개별로는 치명적이지 않아 보여도 정해진 순서로 이으면 인증 없는 원격 코드 실행으로 이어진다.

첫 단계는 ‘/player/timeline’ 엔드포인트의 SSRF(서버가 공격자 의도대로 다른 주소로 요청을 보내게 만드는 취약점)다. ‘protocol’ 매개변수가 검증 없이 플레이어 주소에 끼워 넣어지는 점을 노린다. 두 번째는 ‘searchOne’ 엔드포인트의 URL 값 처리 결함이다. 공격자가 다른 플러그인의 기능을 호출하고 자신의 매개변수를 넣어 소유자의 관리자 토큰을 얻을 수 있다.

세 번째 단계에서는 확보한 소유자 토큰으로 ‘/video/:/transcode/universal’ 경로의 SSRF를 쓴다. 공격자가 올려 둔 영상 파일에 악성 ELF(리눅스 실행·라이브러리 파일 형식) 페이로드를 실어 서버가 내려받게 하는 식이다. 마지막 단계는 파일 이름·경로 통제 결함이다. 악성 공유 객체 파일을 공격자가 고른 경로, 즉 코덱(Codecs) 디렉터리에 쓰고 실행할 수 있다.

시큐리티어페어스가 인용한 메인의 분석에 따르면 로더는 라이브러리의 접두어나 실행 권한, 서명, 심볼을 확인하지 않는다. 코덱 디렉터리를 다시 훑는 두 번째 트랜스코딩이 일어나면 심어 둔 파일이 로드된다. 이때 생성자 함수가 ‘uid=1000’ 권한으로 실행된다.

채굴기에 이어 등장한 ‘myawesomeproxy’

허니팟에 처음 떨어진 페이로드는 XMRig 기반 암호화폐 채굴기였다. The Hacker News는 원격 서버에서 채굴 프로그램이 내려오는 것을 확인했다고 전했다. 같은 날 늦게는 ‘myawesomeproxy’라는 파일이 추가로 나타났다. 바이러스토탈은 이 파일을 은밀한 리눅스 백도어이자 리버스 프록시로 분류한다고 한다.

실행하면 “이 소프트웨어를 실행하면 인터넷 트래픽이 외부에서 쓰일 수 있다는 데 동의하는 것”이라는 취지의 문구가 뜬다. 기즈모도는 공격자가 감염 기기를 주거용 프록시로 쓰려는 것으로 풀이했다. 다른 해커가 정상 트래픽처럼 보이려고 빌리거나 자신의 IP를 숨기는 데 쓰는 방식이다. 연구자는 플렉스가 가정용 IP에서 돌아가는 경우가 많아 “공격자들이 기업 VPN과 이메일에 접근하려고 주거용 IP 프록시를 탐낼 것”이라고 우려했다.

채굴기는 ‘mylovelyminer’라는 이름으로 확인됐다. 연결된 채굴 서버의 관련 하위 도메인 하나는 8월 비트사이트가 AISURU DDoS·프록시웨어 봇넷과 연관해 표시한 적이 있다. 레딧에는 같은 ‘mylovelyminer’에 감염됐다는 플렉스 이용자 글이 여러 건 올라왔다. 다만 Plex2Shell 악용이 원인인지는 아직 알려지지 않았다.

패치는 있었지만 남은 서버 4만 9천 대 가까이

영향받는 서버는 1.43.3.10861 이전 버전이다. 메인은 7월 27일 플렉스에 취약점을 제보했다. 플렉스는 8월 4일에 제보를 확인하고 500달러 포상금을 지급했다. 기즈모도에 따르면 수정 빌드도 같은 날 내려받을 수 있게 됐다. The Hacker News는 수정 버전 공개일을 8월 3일로 적었고 시큐리티어페어스는 9월 배포로 적어 매체별로 엇갈린다.

플렉스는 9월 1일 공개 권고문을 내고 최신 버전 설치를 권했다. 구버전 이용자에게는 이메일도 보낸 것으로 블리핑컴퓨터가 전했다. CVE 번호는 9월 23일에 부여됐다. 500달러라는 보상액에는 “0이 빠진 것 아니냐”는 X 이용자들의 비판이 이어졌다.

노출 규모는 작지 않다. 섀도서버 자료로는 토요일 기준 ‘vulnerable-plex’ 태그가 붙은 호스트가 5만 대에 못 미치는 4만 9천 대 가까이다. 북미가 약 2만 5,100대, 유럽이 약 1만 7,600대다. 크라켄의 최고보안책임자 닉 페르코코는 “페이로드가 플렉스의 코덱 폴더에 남아 트랜스코딩할 때마다 다시 실행되므로 채굴기만 끈다고 해결되지 않는다”고 경고했다.

윈도우·맥의 자동 업데이트 설정은 기본값이 ‘Ask me’다. 리눅스·도커·NAS 설치본은 패키지 관리자나 수동 다운로드에 의존한다. 일요일 오후(미 동부시각) 기준으로 플렉스는 이번 공격에 대한 새 공식 입장을 내지 않았다. The Hacker News도 플렉스에 논평을 요청한 상태다.

시큐리티어페어스는 관리자에게 최신 버전 설치를 우선하라고 권했다. 플렉스가 띄운 예상 밖 자식 프로세스, 원인 불명의 CPU 사용, 코덱 디렉터리의 낯선 파일, 알 수 없는 IP로의 외부 연결도 점검 대상이다. 허니팟 사례는 악용의 증거일 뿐 실제 피해 규모나 공격 주체를 보여 주지는 않는다. 연구자는 공개된 침해 지표가 허니팟에서 본 활동에 한정된다고도 밝혔다.