plex2shell-windows-hunt

Inteligencia de amenazas y una comprobación de compromiso de solo lectura para Windows/Linux de Plex2Shell: CVE-2026-96652, -96654, -96655 y -96656. Estos cuatro fallos se encadenan hasta lograr RCE no autenticado en versiones de Plex Media Server anteriores a 1.43.3.10861.

Archivo	Qué es
Plex2Shell_IOC_IOA_Dossier.md	IOCs, IOAs, la cadena de explotación, artefactos de Windows y criterios para juzgar si un script de comprobación es legítimo
Invoke-Plex2ShellHunt.patched.ps1	Script de búsqueda de solo lectura (Windows PowerShell 5.1 / PowerShell 7+)
reference/	Contenido de detección de terceros (ver más abajo)

Uso

Ejecútelo desde un símbolo del sistema de PowerShell con privilegios elevados en el host de Plex:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

El script solo lee el sistema. No escribe nada fuera de su propia carpeta de informes (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) y no realiza llamadas de red.

Código de salida	Significado
0	Limpio
1	Solo versión vulnerable
2	Sospechoso
3	Probablemente explotado
4	Comprometido

Cambios respecto al script original

El script original tiene SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.

• G1: detecta el host del payload rundll32 …\Codecs\…dll,RunShell desacoplado después de que Plex Transcoder.exe haya finalizado. También comprueba en cada proceso las DLL de Codecs cargadas y marca las conexiones externas de esos procesos.
• G2: detecta la forma de un archivo escrito con dump-yuv, sea cual sea el byte de relleno utilizado: un overlay PE o ELF no mapeado, una cola casi uniforme y un frame repetido.
• G3: puntúa los nombres de códec que rompen el patrón de nombres de los demás archivos de la misma carpeta. En Windows, hevc_decoder.dll es un códec genuino que el PoC sobrescribe in situ, por lo que el nombre por sí solo se reporta únicamente como Info.
• Corrección: un proceso protegido con una lista .Modules en $null ya no genera un error.

Probado sobre el terreno el 2026-10-21 en PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). El resultado fue limpio, sin errores ni falsos positivos.

Contenido de terceros

Los archivos de reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) se copian sin modificaciones desde code-zm/plex2shell en el commit 24e07c02. © los autores de plex2shell, con licencia GPLv3: véase reference/LICENSE-plex2shell-GPLv3.

Fuentes

• Aviso de seguridad de Plex
• Artículo del investigador
• Informe del honeypot de BoredHackerBlog