plex2shell-check

Controllo di compromissione in sola lettura per Plex2Shell (CVE-2026-96652, -96654, -96655, -96656), la catena RCE non autenticata in Plex Media Server precedente alla versione 1.43.3.10861 che è stata sfruttata in the wild dal 2026-10-17 per installare un miner XMRig e uno strumento per proxy residenziali.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # leggilo prima di eseguire qualsiasi cosa come root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

Codice di uscita: 0 pulito, 1 avvisi da esaminare, 2 indicatori di compromissione trovati. Nulla sul sistema viene modificato.

Cosa controlla

1. Versione: dpkg/rpm, i log di PMS e l'endpoint locale /identity.
2. Tracce di exploit: pattern delle richieste della catena e IP degli attaccanti nei log di PMS, dump-yuv lasciato in TranscoderH264Options in Preferences.xml, librerie zz<hex>.so impiantate in Codecs/ e file codec con la coda uniforme di padding che lascia una scrittura dump-yuv.
3. Processi in esecuzione: mylovelyminer*, myawesomeproxy, x12345, xmrig, binari cancellati in esecuzione come utente Plex, processi figli del transcoder non appartenenti a Plex, reverse shell e librerie Codecs cancellate ancora mappate in memoria. I binari sospetti vengono sottoposti a hash tramite /proc/<pid>/exe e confrontati con gli hash IOC noti.
4. File depositati in /tmp, /var/tmp, /dev/shm, nelle directory di lavoro di Plex e nella directory dati di Plex.
5. Rete: connessioni attive verso IP noti degli attaccanti o la porta del pool (3333).
6. Persistenza: cron, unit systemd, chiavi SSH nella home dir di Plex e container Docker simili a miner.

Plex viene individuato in modo nativo, come snap, in Docker e in qualsiasi container in esecuzione tramite /proc/<pid>/root. Eseguirlo una volta su un host Proxmox copre quindi anche Plex all'interno dei container LXC in esecuzione. Per una VM, un container arrestato o un percorso personalizzato, eseguilo all'interno del guest oppure passa -d "/path/to/Plex Media Server".

Opzioni: -d DIR (directory dati aggiuntiva, ripetibile), -s DATE (segnala gli eseguibili più recenti di questa data, predefinita 2026-10-15), -y RULES.yar (esegue anche regole YARA, ad esempio quelle del ricercatore), -o FILE (salva il report).

Se trova qualcosa

1. Copia Logs/, Preferences.xml e i file segnalati in un luogo sicuro.
2. Arresta Plex, termina i processi segnalati, elimina i file .so impiantati (o l'intera directory Codecs/, che Plex scarica di nuovo) e rimuovi TranscoderH264Options da Preferences.xml.
3. Aggiorna alla versione 1.43.3.10861 o successiva prima di riavviare Plex.
4. La catena ruba il token del proprietario, quindi cambia la password di Plex e usa Sign out of all devices.
5. Se l'utente Plex ha accesso sudo o docker, oppure condivide un uid con altri servizi, ricostruisci l'host o il container.
6. Interrompi il port-forwarding della porta 32400 a meno che non ti serva.

Indicatori (dai dati dell'honeypot)

Tipo	Valore
IP di sfruttamento	45.194.92.222, 91.92.40.202, 176.65.139.228
Host dei payload	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
Pool di mining	ota.proxystream.st:3333, --rig-id plex
File e processi	/tmp/mylovelyminer<pid> (cancellato dopo l'avvio), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	vedi IOC_SHA256 nello script

Limiti

PMS conserva solo poche rotazioni dei log, e gli attaccanti possono cambiare nomi, IP e percorsi. Lo script copre solo Linux.

Crediti

Logica di rilevamento adattata da code-zm/plex2shell di Zach Main (write-up). Gli IOC in the wild provengono da BoredHackerBlog e dai suoi pcaps.

Con licenza GPL-3.0, la stessa licenza del contenuto di rilevamento da cui è adattato.