w116tjb/plex2shell-windows-huntPlex2Shell (CVE-2026-96652/54/55/56) IOC/IOA 자료집 및 읽기 전용 Windows 헌트 스크립트
Plex2Shell에 대한 위협 인텔리전스 및 읽기 전용 Windows/Linux 침해 점검: CVE-2026-96652, -96654, -96655, -96656. 이 네 가지 취약점은 1.43.3.10861 이전 버전의 Plex Media Server에서 인증 없이 RCE로 이어지는 취약점 체인을 구성합니다.
| 파일 | 설명 |
|---|---|
Plex2Shell_IOC_IOA_Dossier.md | IOC, IOA, 익스플로잇 체인, Windows 아티팩트, 그리고 점검 스크립트가 정당한지 판단하기 위한 기준 |
Invoke-Plex2ShellHunt.patched.ps1 | 읽기 전용 헌트 스크립트 (Windows PowerShell 5.1 / PowerShell 7+) |
reference/ | 타사 탐지 콘텐츠 (아래 참조) |
Plex 호스트의 관리자 권한 PowerShell 프롬프트에서 실행하십시오:
.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence
이 스크립트는 시스템을 읽기만 합니다. 자체 보고서 폴더(%TEMP%\Plex2ShellHunt_<host>_<timestamp>) 외부에는 아무것도 쓰지 않으며 네트워크 호출도 하지 않습니다.
| 종료 코드 | 의미 |
|---|---|
| 0 | 정상 |
| 1 | 취약한 버전에 해당 |
| 2 | 의심스러움 |
| 3 | 익스플로잇된 것으로 보임 |
| 4 | 침해됨 |
원본 스크립트의 SHA-256은 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871입니다.
Plex Transcoder.exe가 종료된 후 분리된 rundll32 …\Codecs\…dll,RunShell 페이로드 호스트를 탐지합니다. 또한 모든 프로세스에서 로드된 Codecs DLL을 검사하고 해당 프로세스의 외부 연결을 표시합니다.dump-yuv로 작성된 파일의 형태를 탐지합니다: 매핑되지 않은 PE 또는 ELF 오버레이, 거의 균일한 꼬리 부분, 반복되는 프레임.hevc_decoder.dll은 PoC가 제자리에서 덮어쓰는 정품 코덱이므로, 이름만으로는 정보(Info) 수준으로만 보고됩니다..Modules 목록이 $null인 보호된 프로세스가 더 이상 오류를 발생시키지 않습니다.2026-10-21에 PMS 1.43.5.11029 (Windows 11, PowerShell 5.1)에서 현장 테스트를 거쳤습니다. 결과는 정상이었으며 오류나 오탐은 없었습니다.
reference/ 내 파일들(plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log)은 커밋 24e07c02의 code-zm/plex2shell에서 수정 없이 복사되었습니다. © plex2shell 저작자, GPLv3 라이선스: reference/LICENSE-plex2shell-GPLv3 참조.