plex2shell-windows-hunt

Threat intel e un controllo di compromissione in sola lettura per Windows/Linux per Plex2Shell: CVE-2026-96652, -96654, -96655 e -96656. Queste quattro vulnerabilità si concatenano in un RCE non autenticato nelle versioni di Plex Media Server precedenti alla 1.43.3.10861.

File	Cos'è
Plex2Shell_IOC_IOA_Dossier.md	IOC, IOA, la catena di exploit, gli artefatti Windows e i criteri per giudicare se uno script di controllo è legittimo
Invoke-Plex2ShellHunt.patched.ps1	Script di ricerca in sola lettura (Windows PowerShell 5.1 / PowerShell 7+)
reference/	Contenuti di rilevamento di terze parti (vedi sotto)

Utilizzo

Eseguilo da un prompt PowerShell con privilegi elevati sull'host Plex:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

Lo script legge soltanto il sistema. Non scrive nulla al di fuori della propria cartella di report (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) e non effettua chiamate di rete.

Codice di uscita	Significato
0	Pulito
1	Solo versione vulnerabile
2	Sospetto
3	Probabilmente compromesso
4	Compromesso

Modifiche rispetto allo script originale

Lo script originale ha SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.

• G1: rileva l'host del payload distaccato rundll32 …\Codecs\…dll,RunShell dopo che Plex Transcoder.exe è terminato. Controlla inoltre ogni processo alla ricerca di DLL Codecs caricate e segnala le connessioni esterne da quei processi.
• G2: rileva la forma di un file scritto con dump-yuv, qualunque byte di padding sia stato usato: un overlay PE o ELF non mappato, una coda quasi uniforme e un frame ripetuto.
• G3: assegna un punteggio ai nomi dei codec che si discostano dal pattern di denominazione degli altri file nella stessa cartella. Su Windows, hevc_decoder.dll è un codec autentico che il PoC sovrascrive sul posto, quindi il solo nome viene segnalato solo come Info.
• Correzione: un processo protetto con una lista .Modules pari a $null non genera più un errore.

Testato sul campo il 2026-10-21 su PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). Il risultato è stato pulito, senza errori e senza falsi positivi.

Contenuti di terze parti

I file in reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) sono copiati senza modifiche da code-zm/plex2shell al commit 24e07c02. © gli autori di plex2shell, con licenza GPLv3: vedi reference/LICENSE-plex2shell-GPLv3.

Fonti

• Plex security advisory
• Researcher write-up
• BoredHackerBlog honeypot report