plex2shell-windows-hunt

Threat-Intel und eine schreibgeschützte Kompromittierungsprüfung für Windows/Linux zu Plex2Shell: CVE-2026-96652, -96654, -96655 und -96656. Diese vier Schwachstellen verketten sich zu unauthentifizierter RCE in Plex Media Server-Versionen vor 1.43.3.10861.

Datei	Was sie ist
Plex2Shell_IOC_IOA_Dossier.md	IOCs, IOAs, die Exploit-Kette, Windows-Artefakte und Kriterien zur Beurteilung, ob ein Checker-Skript legitim ist
Invoke-Plex2ShellHunt.patched.ps1	Schreibgeschütztes Hunt-Skript (Windows PowerShell 5.1 / PowerShell 7+)
reference/	Detection-Inhalte von Drittanbietern (siehe unten)

Verwendung

Führen Sie es in einer erhöhten PowerShell-Eingabeaufforderung auf dem Plex-Host aus:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

Das Skript liest nur vom System. Es schreibt nichts außerhalb seines eigenen Berichtsordners (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) und führt keine Netzwerkaufrufe durch.

Exit-Code	Bedeutung
0	Sauber
1	Nur anfällige Version
2	Verdächtig
3	Wahrscheinlich ausgenutzt
4	Kompromittiert

Änderungen gegenüber dem Original-Skript

Das Original-Skript hat den SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.

• G1: erkennt den abgekoppelten rundll32 …\Codecs\…dll,RunShell-Payload-Host, nachdem Plex Transcoder.exe beendet wurde. Außerdem prüft es jeden Prozess auf geladene Codecs-DLLs und markiert externe Verbindungen dieser Prozesse.
• G2: erkennt die Form einer mit dump-yuv geschriebenen Datei, unabhängig vom verwendeten Padding-Byte: ein nicht gemapptes PE- oder ELF-Overlay, ein nahezu gleichförmiges Ende und ein wiederholtes Frame.
• G3: bewertet Codec-Namen, die vom Namensmuster der anderen Dateien im selben Ordner abweichen. Unter Windows ist hevc_decoder.dll ein echter Codec, den der PoC an Ort und Stelle überschreibt, daher wird der Name allein nur als Info gemeldet.
• Fix: ein geschützter Prozess mit einer $null-.Modules-Liste löst keinen Fehler mehr aus.

Feldgetestet am 2026-10-21 auf PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). Das Ergebnis war sauber, ohne Fehler und ohne False Positives.

Inhalte von Drittanbietern

Die Dateien in reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) sind unverändert aus code-zm/plex2shell beim Commit 24e07c02 kopiert. © die plex2shell-Autoren, lizenziert unter GPLv3: siehe reference/LICENSE-plex2shell-GPLv3.

Quellen

• Plex-Sicherheitshinweis
• Bericht des Forschers
• BoredHackerBlog-Honeypot-Bericht