plex2shell-check

Schreibgeschützte Kompromittierungsprüfung für Plex2Shell (CVE-2026-96652, -96654, -96655, -96656), die unauthentifizierte RCE-Kette in Plex Media Server vor 1.43.3.10861, die seit dem 2026-10-17 in freier Wildbahn ausgenutzt wird, um einen XMRig-Miner und ein Residential-Proxy-Tool abzulegen.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # read it before running anything as root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

Exit-Code: 0 sauber, 1 Warnungen zur Überprüfung, 2 Kompromittierungsindikatoren gefunden. Am System wird nichts verändert.

Was geprüft wird

1. Version: dpkg/rpm, PMS-Logs und der lokale /identity-Endpunkt.
2. Exploit-Spuren: Ketten-Anfragemuster und Angreifer-IPs in PMS-Logs, dump-yuv in TranscoderH264Options in Preferences.xml, eingeschleuste zz<hex>.so-Bibliotheken in Codecs/ sowie Codec-Dateien mit dem gleichmäßig aufgefüllten Ende, das ein dump-yuv-Schreibvorgang hinterlässt.
3. Laufende Prozesse: mylovelyminer*, myawesomeproxy, x12345, xmrig, gelöschte Binärdateien, die als Plex-Benutzer laufen, Nicht-Plex-Kindprozesse des Transcoders, Reverse Shells und gelöschte Codecs-Bibliotheken, die noch im Speicher eingebunden sind. Verdächtige Binärdateien werden über /proc/<pid>/exe gegen bekannte IOC-Hashes geprüft.
4. Abgelegte Dateien in /tmp, /var/tmp, /dev/shm, den Plex-Arbeitsverzeichnissen und dem Plex-Datenverzeichnis.
5. Netzwerk: aktive Verbindungen zu bekannten Angreifer-IPs oder dem Pool-Port (3333).
6. Persistenz: Cron, systemd-Units, SSH-Schlüssel im Plex-Home-Verzeichnis und miner-ähnliche Docker-Container.

Plex wird nativ, als Snap, in Docker und in jedem laufenden Container über /proc/<pid>/root erkannt. Ein einmaliger Lauf auf einem Proxmox-Host deckt daher auch Plex in laufenden LXC-Containern ab. Für eine VM, einen gestoppten Container oder einen benutzerdefinierten Pfad führen Sie es im Gast aus oder übergeben Sie -d "/path/to/Plex Media Server".

Optionen: -d DIR (zusätzliches Datenverzeichnis, wiederholbar), -s DATE (markiert ausführbare Dateien, die neuer als dieses Datum sind, Standard 2026-10-15), -y RULES.yar (führt zusätzlich YARA-Regeln aus, zum Beispiel die des Forschers), -o FILE (speichert den Bericht).

Wenn etwas gefunden wird

1. Kopieren Sie Logs/, Preferences.xml und die markierten Dateien an einen sicheren Ort.
2. Stoppen Sie Plex, beenden Sie die markierten Prozesse, löschen Sie die eingeschleusten .so-Dateien (oder das gesamte Codecs/-Verzeichnis, das Plex erneut herunterlädt) und entfernen Sie TranscoderH264Options aus Preferences.xml.
3. Aktualisieren Sie auf 1.43.3.10861 oder neuer, bevor Sie Plex wieder starten.
4. Die Kette stiehlt das Token des Eigentümers, ändern Sie daher Ihr Plex-Passwort und verwenden Sie Sign out of all devices.
5. Wenn der Plex-Benutzer sudo- oder Docker-Zugriff hat oder sich eine uid mit anderen Diensten teilt, bauen Sie den Host oder Container neu auf.
6. Beenden Sie die Portweiterleitung von 32400, sofern Sie sie nicht benötigen.

Indikatoren (aus den Honeypot-Daten)

Typ	Wert
Ausnutzungs-IPs	45.194.92.222, 91.92.40.202, 176.65.139.228
Payload-Hosts	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
Mining-Pool	ota.proxystream.st:3333, --rig-id plex
Dateien und Prozesse	/tmp/mylovelyminer<pid> (nach dem Start gelöscht), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	siehe IOC_SHA256 im Skript

Einschränkungen

PMS behält nur wenige Log-Rotationen, und Angreifer können Namen, IPs und Pfade ändern. Das Skript deckt nur Linux ab.

Danksagungen

Die Erkennungslogik wurde von code-zm/plex2shell von Zach Main übernommen (Write-up). Die In-the-Wild-IOCs stammen von BoredHackerBlog und dessen pcaps.

Lizenziert unter GPL-3.0, derselben Lizenz wie der übernommene Erkennungsinhalt.