w116tjb/plex2shell-windows-huntملف IOC/IOA لثغرات Plex2Shell (CVE-2026-96652/54/55/56) وسكربت بحث للقراءة فقط على Windows
معلومات استخبارات التهديدات وفحص تعرّض للاختراق للقراءة فقط على Windows/Linux لـ Plex2Shell: CVE-2026-96652 و-96654 و-96655 و-96656. تتسلسل هذه الثغرات الأربع إلى تنفيذ تعليمات برمجية عن بُعد (RCE) دون مصادقة في إصدارات Plex Media Server الأقدم من 1.43.3.10861.
| الملف | ما هو |
|---|---|
Plex2Shell_IOC_IOA_Dossier.md | مؤشرات الاختراق (IOCs) ومؤشرات الهجوم (IOAs) وسلسلة الاستغلال وآثار Windows ومعايير الحكم على شرعية سكربت الفحص |
Invoke-Plex2ShellHunt.patched.ps1 | سكربت فحص للقراءة فقط (Windows PowerShell 5.1 / PowerShell 7+) |
reference/ | محتوى كشف من طرف ثالث (انظر أدناه) |
شغّله من موجه PowerShell بصلاحيات مرتفعة على مضيف Plex:
.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence
يقرأ السكربت النظام فقط. لا يكتب شيئًا خارج مجلد تقريره الخاص (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) ولا يجري أي اتصالات شبكية.
| رمز الخروج | المعنى |
|---|---|
| 0 | سليم |
| 1 | إصدار معرّض للثغرة فقط |
| 2 | مريب |
| 3 | مُستغَل على الأرجح |
| 4 | مخترَق |
السكربت الأصلي بصمة SHA-256 الخاصة به هي a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.
rundll32 …\Codecs\…dll,RunShell بعد خروج Plex Transcoder.exe. كما يفحص كل عملية بحثًا عن مكتبات Codecs DLL المحمّلة ويُبلّغ عن الاتصالات الخارجية من تلك العمليات.dump-yuv، أيًّا كان بايت الحشو المستخدم: طبقة PE أو ELF غير معيّنة في الخريطة، وذيل شبه منتظم، وإطار متكرر.hevc_decoder.dll ترميزًا حقيقيًا يستبدله PoC في مكانه، لذا يُبلّغ عن الاسم وحده كمعلومة (Info) فقط..Modules بقيمة $null لم تعد تُثير خطأً.اختُبر ميدانيًا في 2026-10-21 على PMS 1.43.5.11029 (Windows 11، PowerShell 5.1). كانت النتيجة سليمة، دون أخطاء ودون إيجابيات كاذبة.
الملفات في reference/ (plex2shell.yar وplex2shell-hunt.sh وpms_malicious_sample.log) منسوخة دون تعديل من code-zm/plex2shell عند الالتزام 24e07c02. © مؤلفو plex2shell، مرخّصة بموجب GPLv3: انظر reference/LICENSE-plex2shell-GPLv3.