plex2shell-windows-hunt

Plex2Shell के लिए थ्रेट इंटेल और एक रीड-ओनली Windows/Linux समझौता जाँच: CVE-2026-96652, -96654, -96655 और -96656। ये चार बग 1.43.3.10861 से पहले के Plex Media Server संस्करणों में श्रृंखलाबद्ध होकर अनप्रमाणित RCE बनाते हैं।

फ़ाइल	यह क्या है
`Plex2Shell_IOC_IOA_Dossier.md`	IOC, IOA, एक्सप्लॉइट श्रृंखला, Windows आर्टिफ़ैक्ट, और यह आकलन करने के मानदंड कि कोई चेकर स्क्रिप्ट वैध है या नहीं
`Invoke-Plex2ShellHunt.patched.ps1`	रीड-ओनली हंट स्क्रिप्ट (Windows PowerShell 5.1 / PowerShell 7+)
`reference/`	तृतीय-पक्ष डिटेक्शन सामग्री (नीचे देखें)

उपयोग

इसे Plex होस्ट पर एक एलिवेटेड PowerShell प्रॉम्प्ट से चलाएँ:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

स्क्रिप्ट केवल सिस्टम को पढ़ती है। यह अपने रिपोर्ट फ़ोल्डर (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) के बाहर कुछ नहीं लिखती और कोई नेटवर्क कॉल नहीं करती।

एग्ज़िट कोड	अर्थ
0	स्वच्छ
1	केवल भेद्य संस्करण
2	संदिग्ध
3	संभवतः शोषित
4	समझौता किया गया

मूल स्क्रिप्ट से परिवर्तन

मूल स्क्रिप्ट का SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871 है।

G1: Plex Transcoder.exe के बाहर निकलने के बाद डिटैच्ड rundll32 …\Codecs\…dll,RunShell पेलोड होस्ट का पता लगाता है। यह हर प्रोसेस में लोड किए गए Codecs DLL की भी जाँच करता है और उन प्रोसेस से होने वाले बाहरी कनेक्शन को फ़्लैग करता है।
G2: dump-yuv के साथ लिखी गई फ़ाइल के आकार-प्रकार का पता लगाता है, चाहे कोई भी पैडिंग बाइट इस्तेमाल हुई हो: एक अनमैप्ड PE या ELF ओवरले, लगभग-एकसमान टेल, और एक दोहराया गया फ़्रेम।
G3: उन कोडेक नामों को स्कोर करता है जो उसी फ़ोल्डर की अन्य फ़ाइलों के नामकरण पैटर्न को तोड़ते हैं। Windows पर, hevc_decoder.dll एक वास्तविक कोडेक है जिसे PoC इन-प्लेस ओवरराइट करता है, इसलिए अकेले नाम को केवल Info के रूप में रिपोर्ट किया जाता है।
फ़िक्स: $null .Modules सूची वाला एक संरक्षित प्रोसेस अब त्रुटि नहीं उठाता।

2026-10-21 को PMS 1.43.5.11029 (Windows 11, PowerShell 5.1) पर फ़ील्ड-टेस्ट किया गया। परिणाम स्वच्छ रहा, कोई त्रुटि नहीं और कोई गलत पॉज़िटिव नहीं।

तृतीय-पक्ष सामग्री

reference/ में मौजूद फ़ाइलें (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) कमिट 24e07c02 पर code-zm/plex2shell से बिना संशोधन के कॉपी की गई हैं। © plex2shell लेखक, GPLv3 के अंतर्गत लाइसेंस प्राप्त: देखें reference/LICENSE-plex2shell-GPLv3।

plex2shell-windows-hunt

सबसे लोकप्रिय

plex2shell-windows-hunt

उपयोग

मूल स्क्रिप्ट से परिवर्तन

तृतीय-पक्ष सामग्री

स्रोत