plex2shell-check

Plex2Shell (CVE-2026-96652, -96654, -96655, -96656) के लिए केवल-पढ़ने वाला समझौता जाँच, जो 1.43.3.10861 से पहले के Plex Media Server में अनधिप्रमाणित RCE श्रृंखला है, जिसका उपयोग 2026-10-17 से जंगली में XMRig माइनर और एक आवासीय-प्रॉक्सी टूल को गिराने के लिए किया गया है।

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # read it before running anything as root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

एग्ज़िट कोड: 0 स्वच्छ, 1 समीक्षा के लिए चेतावनी, 2 समझौते के संकेतक मिले। सिस्टम पर कुछ भी संशोधित नहीं होता।

यह क्या जाँचता है

1. संस्करण: dpkg/rpm, PMS लॉग, और स्थानीय /identity एंडपॉइंट।
2. शोषण के निशान: PMS लॉग में श्रृंखला अनुरोध पैटर्न और हमलावर IPs, Preferences.xml में TranscoderH264Options में छोड़ा गया dump-yuv, Codecs/ में रखी गई zz<hex>.so लाइब्रेरीज़, और समान पैडेड टेल वाली कोडेक फ़ाइलें जो dump-yuv लेखन छोड़ता है।
3. चल रही प्रक्रियाएँ: mylovelyminer*, myawesomeproxy, x12345, xmrig, Plex उपयोगकर्ता के रूप में चल रही हटाई गई बाइनरीज़, ट्रांसकोडर के गैर-Plex चाइल्ड, रिवर्स शेल, और मेमोरी में अभी भी मैप की गई हटाई गई Codecs लाइब्रेरीज़। संदिग्ध बाइनरीज़ को ज्ञात IOC हैश के विरुद्ध /proc/<pid>/exe के माध्यम से हैश किया जाता है।
4. गिराई गई फ़ाइलें /tmp, /var/tmp, /dev/shm, Plex कार्यशील डायरेक्टरीज़ और Plex डेटा डायरेक्टरी में।
5. नेटवर्क: ज्ञात हमलावर IPs या पूल पोर्ट (3333) से लाइव कनेक्शन।
6. स्थायित्व: cron, systemd यूनिट्स, Plex होम डायरेक्टरी में SSH कुंजियाँ, और माइनर-जैसे Docker कंटेनर।

Plex को नेटिव रूप से, snap के रूप में, Docker में, और /proc/<pid>/root के माध्यम से किसी भी चल रहे कंटेनर में खोजा जाता है। इसलिए इसे Proxmox होस्ट पर एक बार चलाने से चल रहे LXC कंटेनरों के अंदर Plex भी कवर हो जाता है। VM, रुके हुए कंटेनर या कस्टम पथ के लिए, इसे गेस्ट के अंदर चलाएँ या -d "/path/to/Plex Media Server" पास करें।

विकल्प: -d DIR (अतिरिक्त डेटा डायरेक्टरी, दोहराने योग्य), -s DATE (इससे नई एक्ज़ीक्यूटेबल्स को फ़्लैग करें, डिफ़ॉल्ट 2026-10-15), -y RULES.yar (YARA नियम भी चलाएँ, उदाहरण के लिए शोधकर्ता के), -o FILE (रिपोर्ट सहेजें)।

यदि यह कुछ पाता है

1. Logs/, Preferences.xml और फ़्लैग की गई फ़ाइलों को किसी सुरक्षित स्थान पर कॉपी करें।
2. Plex रोकें, फ़्लैग की गई प्रक्रियाओं को मारें, रखी गई .so फ़ाइलों को हटाएँ (या पूरी Codecs/ डायरेक्टरी, जिसे Plex फिर से डाउनलोड करता है), और Preferences.xml से TranscoderH264Options हटाएँ।
3. Plex को फिर से शुरू करने से पहले 1.43.3.10861 या बाद के संस्करण में अपडेट करें।
4. श्रृंखला मालिक का टोकन चुरा लेती है, इसलिए अपना Plex पासवर्ड बदलें और Sign out of all devices का उपयोग करें।
5. यदि Plex उपयोगकर्ता के पास sudo या docker पहुँच है, या अन्य सेवाओं के साथ uid साझा करता है, तो होस्ट या कंटेनर को फिर से बनाएँ।
6. जब तक आपको इसकी आवश्यकता न हो, 32400 का पोर्ट-फ़ॉरवर्डिंग बंद करें।

संकेतक (हनीपॉट डेटा से)

प्रकार	मान
शोषण IPs	45.194.92.222, 91.92.40.202, 176.65.139.228
पेलोड होस्ट	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
माइनिंग पूल	ota.proxystream.st:3333, --rig-id plex
फ़ाइलें और प्रक्रियाएँ	/tmp/mylovelyminer<pid> (शुरू होने के बाद हटाई गई), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	स्क्रिप्ट में IOC_SHA256 देखें

सीमाएँ

PMS केवल कुछ लॉग रोटेशन रखता है, और हमलावर नाम, IPs और पथ बदल सकते हैं। स्क्रिप्ट केवल Linux को कवर करती है।

श्रेय

पहचान तर्क Zach Main के code-zm/plex2shell से अनुकूलित (write-up)। जंगली में मिले IOCs BoredHackerBlog और इसके pcaps से आते हैं।

GPL-3.0 के अंतर्गत लाइसेंस प्राप्त, वही लाइसेंस जो इसके द्वारा अनुकूलित पहचान सामग्री का है।