plex2shell-check

Plex2Shell（CVE-2026-96652、-96654、-96655、-96656）の読み取り専用侵害チェック。これは 1.43.3.10861 より前の Plex Media Server における未認証の RCE チェーンであり、2026-10-17 以降、XMRig マイナーとレジデンシャルプロキシツールを投下するために実際に悪用されています。

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # read it before running anything as root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

終了コード: 0 クリーン、1 確認すべき警告あり、2 侵害の指標を検出。システム上の何も変更されません。

チェック内容

1. バージョン: dpkg/rpm、PMS ログ、およびローカルの /identity エンドポイント。
2. エクスプロイトの痕跡: PMS ログ内のチェーンリクエストパターンと攻撃者 IP、Preferences.xml の TranscoderH264Options に残された dump-yuv、Codecs/ に植え付けられた zz<hex>.so ライブラリ、および dump-yuv の書き込みが残す均一なパディング末尾を持つコーデックファイル。
3. 実行中のプロセス: mylovelyminer*、myawesomeproxy、x12345、xmrig、Plex ユーザーとして実行されている削除済みバイナリ、トランスコーダの Plex 以外の子プロセス、リバースシェル、およびメモリにマッピングされたままの削除済み Codecs ライブラリ。疑わしいバイナリは /proc/<pid>/exe 経由で既知の IOC ハッシュと照合してハッシュ化されます。
4. 投下されたファイル: /tmp、/var/tmp、/dev/shm、Plex の作業ディレクトリ、および Plex データディレクトリ内。
5. ネットワーク: 既知の攻撃者 IP またはプールポート（3333）へのアクティブな接続。
6. 永続化: cron、systemd ユニット、Plex ホームディレクトリ内の SSH キー、およびマイナーらしき Docker コンテナ。

Plex はネイティブ、snap として、Docker 内、および /proc/<pid>/root 経由で実行中のあらゆるコンテナ内で検出されます。したがって、Proxmox ホスト上で一度実行すれば、実行中の LXC コンテナ内の Plex もカバーされます。VM、停止中のコンテナ、またはカスタムパスの場合は、ゲスト内で実行するか、-d "/path/to/Plex Media Server" を渡してください。

オプション: -d DIR（追加のデータディレクトリ、複数回指定可能）、-s DATE（これより新しい実行ファイルをフラグ付け、デフォルト 2026-10-15）、-y RULES.yar（YARA ルールも実行、例えば研究者のもの）、-o FILE（レポートを保存）。

何か見つかった場合

1. Logs/、Preferences.xml、およびフラグ付けされたファイルを安全な場所にコピーします。
2. Plex を停止し、フラグ付けされたプロセスを強制終了し、植え付けられた .so ファイル（または Plex が再ダウンロードする Codecs/ ディレクトリ全体）を削除し、Preferences.xml から TranscoderH264Options を削除します。
3. Plex を再起動する前に 1.43.3.10861 以降にアップデートします。
4. このチェーンは所有者のトークンを窃取するため、Plex のパスワードを変更し、すべてのデバイスからサインアウトを使用します。
5. Plex ユーザーが sudo または docker へのアクセス権を持っている場合、または他のサービスと uid を共有している場合は、ホストまたはコンテナを再構築します。
6. 必要でない限り、32400 のポートフォワーディングを停止します。

指標（ハニーポットデータより）

種類	値
悪用 IP	45.194.92.222, 91.92.40.202, 176.65.139.228
ペイロードホスト	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
マイニングプール	ota.proxystream.st:3333, --rig-id plex
ファイルとプロセス	/tmp/mylovelyminer<pid>（起動後に削除）、myawesomeproxy、x12345、/tmp/xsetup.lock、Codecs/*/zz<hex>.so
SHA-256	スクリプト内の IOC_SHA256 を参照

制限事項

PMS はログのローテーションを数回分しか保持せず、攻撃者は名前、IP、パスを変更できます。このスクリプトは Linux のみを対象としています。

クレジット

検出ロジックは Zach Main による code-zm/plex2shell を改変したものです（解説記事）。実際の攻撃で確認された IOC は BoredHackerBlog とその pcaps に由来します。

ライセンスは GPL-3.0 で、改変元の検出コンテンツと同じライセンスです。