Skip to content
KitploitKITPLOIT
도구익스플로잇블로그
Log in
제출
도구익스플로잇블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

피드문의개인정보© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
plex2shell-check — Plex2Shell(CVE-2026-96652/-96654/-96655/-96656) 악용 및 실제 환경에서 관측된 XMRig/프록시 페이로드에 대한 읽기 전용 Linux 점검 | Kitploit
도구/GitHubGitHub/chrislpjones/plex2shell-check
Defensive ToolsIndicator of Compromise (IOC) ManagementPersistence MechanismsVulnerability AnalysisForensicsMalware AnalysisIncident ResponseLog Analysis
GitHubchrislpjones/plex2shell-check

plex2shell-check

Plex2Shell(CVE-2026-96652/-96654/-96655/-96656) 악용 및 실제 환경에서 관측된 XMRig/프록시 페이로드에 대한 읽기 전용 Linux 점검

저장소 보기
1115일 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

plex2shell-check

Plex2Shell(CVE-2026-96652, -96654, -96655, -96656)에 대한 읽기 전용 침해 점검 도구입니다. Plex2Shell은 1.43.3.10861 이전 버전의 Plex Media Server에서 인증 없이 원격 코드 실행(RCE)이 가능한 취약점 체인으로, 2026-10-17부터 XMRig 채굴기와 주거용 프록시 도구를 설치하는 데 실제로 악용되어 왔습니다.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # read it before running anything as root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

종료 코드: 0은 깨끗함, 1은 검토할 경고 있음, 2는 침해 지표 발견. 시스템의 어떤 것도 수정하지 않습니다.

점검 항목

  1. 버전: dpkg/rpm, PMS 로그, 로컬 /identity 엔드포인트.
  2. 익스플로잇 흔적: PMS 로그의 체인 요청 패턴과 공격자 IP, Preferences.xml의 TranscoderH264Options에 남은 dump-yuv, Codecs/에 심어진 zz<hex>.so 라이브러리, 그리고 dump-yuv 쓰기가 남기는 균일한 패딩 꼬리를 가진 코덱 파일.
  3. 실행 중인 프로세스: mylovelyminer*, myawesomeproxy, x12345, xmrig, Plex 사용자로 실행 중인 삭제된 바이너리, 트랜스코더의 비-Plex 자식 프로세스, 리버스 셸, 메모리에 여전히 매핑된 삭제된 Codecs 라이브러리. 의심 바이너리는 /proc/<pid>/exe를 통해 알려진 IOC 해시와 대조하여 해시를 계산합니다.
  4. 드롭된 파일: /tmp, /var/tmp, /dev/shm, Plex 작업 디렉터리 및 Plex 데이터 디렉터리 내.
  5. 네트워크: 알려진 공격자 IP 또는 풀 포트(3333)로의 활성 연결.
  6. 지속성: cron, systemd 유닛, Plex 홈 디렉터리의 SSH 키, 채굴기 유사 Docker 컨테이너.

Plex는 네이티브 설치, snap, Docker, 그리고 /proc/<pid>/root를 통해 실행 중인 모든 컨테이너에서 탐지됩니다. 따라서 Proxmox 호스트에서 한 번 실행하면 실행 중인 LXC 컨테이너 내부의 Plex도 함께 점검됩니다. VM, 중지된 컨테이너 또는 사용자 지정 경로의 경우 게스트 내부에서 실행하거나 -d "/path/to/Plex Media Server"를 전달하십시오.

옵션: -d DIR(추가 데이터 디렉터리, 반복 가능), -s DATE(이 날짜 이후의 실행 파일을 표시, 기본값 2026-10-15), -y RULES.yar(YARA 규칙도 실행, 예: 연구자의 규칙), -o FILE(보고서 저장).

무언가 발견되면

  1. Logs/, Preferences.xml 및 표시된 파일을 안전한 곳에 복사하십시오.
  2. Plex를 중지하고, 표시된 프로세스를 종료하고, 심어진 .so 파일(또는 Plex가 다시 다운로드하는 전체 Codecs/ 디렉터리)을 삭제하고, Preferences.xml에서 TranscoderH264Options를 제거하십시오.
  3. Plex를 다시 시작하기 전에 1.43.3.10861 이상으로 업데이트하십시오.
  4. 이 체인은 소유자의 토큰을 탈취하므로 Plex 비밀번호를 변경하고 모든 기기에서 로그아웃을 사용하십시오.
  5. Plex 사용자에게 sudo 또는 docker 접근 권한이 있거나 다른 서비스와 uid를 공유하는 경우 호스트 또는 컨테이너를 재구축하십시오.
  6. 필요하지 않다면 32400 포트 포워딩을 중지하십시오.

지표 (허니팟 데이터 기준)

유형값
익스플로잇 IP45.194.92.222, 91.92.40.202, 176.65.139.228
페이로드 호스트217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
채굴 풀ota.proxystream.st:3333, --rig-id plex
파일 및 프로세스/tmp/mylovelyminer<pid> (시작 후 삭제됨), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256스크립트의 IOC_SHA256 참조

한계

PMS는 로그 로테이션을 몇 개만 보관하며, 공격자는 이름, IP, 경로를 변경할 수 있습니다. 이 스크립트는 Linux만 지원합니다.

크레딧

탐지 로직은 Zach Main의 code-zm/plex2shell에서 각색했습니다(분석 글). 실제 공격 지표(IOC)는 BoredHackerBlog와 해당 pcaps에서 가져왔습니다.

GPL-3.0으로 라이선스되며, 이는 각색한 탐지 콘텐츠와 동일한 라이선스입니다.

도구 다운로드