Emby, daha önce bilinen bir güvenlik açığından ve güvensiz bir yönetici hesabı yapılandırmasından yararlanılarak kısa süre önce saldırıya uğramış kullanıcı tarafından barındırılan birçok medya sunucusu örneğini sayı belirtmeden uzaktan kapattığını açıkladı.
“Sisteminizde muhtemelen bilginiz dışında yüklenmiş olan kötü amaçlı bir eklenti tespit ettik ve güvenliğiniz için Emby Sunucunuzu önlem olarak kapattık.” diyen şirket, etkilenen sunucuların kullanıcılarını günlük dosyalarına eklenen yeni girdilerle bilgilendirdi.
Saldırılar ilk olarak Mayıs 2023 ortalarında saldırganların internete açık özel medya sunucularının hedef alınmasıyla ve yerel ağda parola olmadan yönetici girişlerine izin verecek şekilde yapılandırılmış sunuculara sızılmasıyla başladı.
Bilgisayar korsanları, saldırıya uğrayan sunucularda oturum açan tüm kullanıcıların kimlik bilgilerini toplayan kötü amaçlı eklentiler yükleyerek bu şekilde arka kapılar açmaya çalıştı. Emby tarafından yapılan açıklamaya göre, “Dikkatli bir analiz ve olası hafifletme stratejilerinin değerlendirilmesinden sonra Emby ekibi serverlarda söz konusu eklentiyi tespit edebilen ve yüklenmesini önleyen bir güncelleme” yayınladı.
Kullanıcıların güvenlik gerekçesiyle kapatılan Emby sunucularını tekrar başlatmadan önce “Emby Server Data Folder” içinden, eklentiler klasöründen, önbellek ve veri alt klasörlerinden helper.dll veya EmbyHelper.dll dosyalarını derhal silmeleri tavsiye edilir. Ayrıca hosts dosyalarına yeni bir emmm.spxaebjhxtmddsri.xyz 127.0.0.1 satırı eklenerek zararlı yazılımların saldırganla iletişimi engellenebilir.
