w116tjb/plex2shell-windows-huntDossier IOC/IOA Plex2Shell (CVE-2026-96652/54/55/56) et script de chasse Windows en lecture seule
Renseignements sur les menaces et vérification en lecture seule de compromission sous Windows/Linux pour Plex2Shell : CVE-2026-96652, -96654, -96655 et -96656. Ces quatre vulnérabilités s'enchaînent pour permettre une RCE non authentifiée dans les versions de Plex Media Server antérieures à 1.43.3.10861.
| Fichier | Description |
|---|---|
Plex2Shell_IOC_IOA_Dossier.md | IOCs, IOAs, la chaîne d'exploitation, les artefacts Windows et les critères permettant de juger si un script de vérification est légitime |
Invoke-Plex2ShellHunt.patched.ps1 | Script de recherche en lecture seule (Windows PowerShell 5.1 / PowerShell 7+) |
reference/ | Contenu de détection tiers (voir ci-dessous) |
Exécutez-le depuis une invite PowerShell élevée sur l'hôte Plex :
.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence
Le script ne fait que lire le système. Il n'écrit rien en dehors de son propre dossier de rapport (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) et n'effectue aucun appel réseau.
| Code de sortie | Signification |
|---|---|
| 0 | Sain |
| 1 | Version vulnérable uniquement |
| 2 | Suspect |
| 3 | Probablement exploité |
| 4 | Compromis |
Le script original a pour SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.
rundll32 …\Codecs\…dll,RunShell après la fin de Plex Transcoder.exe. Il vérifie également chaque processus à la recherche de DLL Codecs chargées et signale les connexions externes provenant de ces processus.dump-yuv, quel que soit l'octet de remplissage utilisé : un overlay PE ou ELF non mappé, une fin quasi uniforme et une trame répétée.hevc_decoder.dll est un codec authentique que le PoC écrase sur place ; le nom seul n'est donc signalé qu'à titre informatif..Modules vaut $null ne déclenche plus d'erreur.Testé sur le terrain le 2026-10-21 sur PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). Le résultat était sain, sans erreurs ni faux positifs.
Les fichiers du dossier reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) sont copiés sans modification depuis code-zm/plex2shell au commit 24e07c02. © les auteurs de plex2shell, sous licence GPLv3 : voir reference/LICENSE-plex2shell-GPLv3.