plex2shell-check

Vérification de compromission en lecture seule pour Plex2Shell (CVE-2026-96652, -96654, -96655, -96656), la chaîne RCE non authentifiée dans Plex Media Server antérieure à 1.43.3.10861 qui est exploitée dans la nature depuis le 2026-10-17 pour déposer un mineur XMRig et un outil de proxy résidentiel.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # lisez-le avant d'exécuter quoi que ce soit en root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

Code de sortie : 0 propre, 1 avertissements à examiner, 2 indicateurs de compromission trouvés. Rien sur le système n'est modifié.

Ce qu'il vérifie

1. Version : dpkg/rpm, les journaux PMS et le point de terminaison local /identity.
2. Traces d'exploitation : motifs de requêtes de la chaîne et IP d'attaquants dans les journaux PMS, dump-yuv laissé dans TranscoderH264Options dans Preferences.xml, bibliothèques zz<hex>.so plantées dans Codecs/, et fichiers de codec présentant la queue uniformément complétée qu'une écriture dump-yuv laisse.
3. Processus en cours d'exécution : mylovelyminer*, myawesomeproxy, x12345, xmrig, binaires supprimés s'exécutant sous l'utilisateur Plex, processus enfants non-Plex du transcodeur, reverse shells, et bibliothèques Codecs supprimées toujours mappées en mémoire. Les binaires suspects sont hachés via /proc/<pid>/exe et comparés aux hachages IOC connus.
4. Fichiers déposés dans /tmp, /var/tmp, /dev/shm, les répertoires de travail de Plex et le répertoire de données de Plex.
5. Réseau : connexions actives vers des IP d'attaquants connues ou le port du pool (3333).
6. Persistance : cron, unités systemd, clés SSH dans le répertoire personnel de Plex, et conteneurs Docker ressemblant à des mineurs.

Plex est découvert nativement, en tant que snap, dans Docker, et dans tout conteneur en cours d'exécution via /proc/<pid>/root. L'exécuter une fois sur un hôte Proxmox couvre donc aussi Plex à l'intérieur de conteneurs LXC en cours d'exécution. Pour une VM, un conteneur arrêté ou un chemin personnalisé, exécutez-le dans l'invité ou passez -d "/path/to/Plex Media Server".

Options : -d DIR (répertoire de données supplémentaire, répétable), -s DATE (signaler les exécutables plus récents que cette date, par défaut 2026-10-15), -y RULES.yar (exécuter aussi des règles YARA, par exemple celles du chercheur), -o FILE (enregistrer le rapport).

S'il trouve quelque chose

1. Copiez Logs/, Preferences.xml et les fichiers signalés dans un endroit sûr.
2. Arrêtez Plex, tuez les processus signalés, supprimez les fichiers .so plantés (ou tout le répertoire Codecs/, que Plex retélécharge), et retirez TranscoderH264Options de Preferences.xml.
3. Mettez à jour vers 1.43.3.10861 ou une version ultérieure avant de redémarrer Plex.
4. La chaîne vole le jeton du propriétaire, donc changez votre mot de passe Plex et utilisez Se déconnecter de tous les appareils.
5. Si l'utilisateur Plex dispose d'un accès sudo ou docker, ou partage un uid avec d'autres services, reconstruisez l'hôte ou le conteneur.
6. Arrêtez la redirection de port 32400 sauf si vous en avez besoin.

Indicateurs (issus des données du honeypot)

Type	Valeur
IP d'exploitation	45.194.92.222, 91.92.40.202, 176.65.139.228
Hôtes de charge utile	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
Pool de minage	ota.proxystream.st:3333, --rig-id plex
Fichiers et processus	/tmp/mylovelyminer<pid> (supprimé après le démarrage), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	voir IOC_SHA256 dans le script

Limites

PMS ne conserve que quelques rotations de journaux, et les attaquants peuvent changer les noms, les IP et les chemins. Le script ne couvre que Linux.

Crédits

Logique de détection adaptée de code-zm/plex2shell par Zach Main (write-up). Les IOC observés dans la nature proviennent de BoredHackerBlog et de ses pcaps.

Sous licence GPL-3.0, la même licence que le contenu de détection qu'il adapte.