plex2shell-check

Verificação de comprometimento somente leitura para o Plex2Shell (CVE-2026-96652, -96654, -96655, -96656), a cadeia de RCE não autenticada no Plex Media Server anterior à versão 1.43.3.10861 que vem sendo explorada ativamente desde 2026-10-17 para instalar um minerador XMRig e uma ferramenta de proxy residencial.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # leia antes de executar qualquer coisa como root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

Código de saída: 0 limpo, 1 avisos a revisar, 2 indicadores de comprometimento encontrados. Nada no sistema é modificado.

O que ele verifica

1. Versão: dpkg/rpm, logs do PMS e o endpoint local /identity.
2. Rastros de exploração: padrões de requisições da cadeia e IPs do atacante nos logs do PMS, dump-yuv deixado em TranscoderH264Options no Preferences.xml, bibliotecas zz<hex>.so plantadas em Codecs/ e arquivos de codec com a cauda uniforme preenchida que uma escrita de dump-yuv deixa.
3. Processos em execução: mylovelyminer*, myawesomeproxy, x12345, xmrig, binários excluídos em execução sob o usuário do Plex, processos filhos do transcoder que não são do Plex, reverse shells e bibliotecas de Codecs excluídas ainda mapeadas na memória. Binários suspeitos têm seu hash calculado via /proc/<pid>/exe e comparado com hashes de IOC conhecidos.
4. Arquivos deixados em /tmp, /var/tmp, /dev/shm, diretórios de trabalho do Plex e o diretório de dados do Plex.
5. Rede: conexões ativas para IPs conhecidos do atacante ou para a porta do pool (3333).
6. Persistência: cron, unidades systemd, chaves SSH no diretório home do Plex e contêineres Docker semelhantes a mineradores.

O Plex é descoberto nativamente, como snap, em Docker e em qualquer contêiner em execução através de /proc/<pid>/root. Executá-lo uma vez em um host Proxmox, portanto, também cobre o Plex dentro de contêineres LXC em execução. Para uma VM, um contêiner parado ou um caminho personalizado, execute-o dentro do guest ou passe -d "/path/to/Plex Media Server".

Opções: -d DIR (diretório de dados extra, repetível), -s DATE (sinalizar executáveis mais recentes que esta data, padrão 2026-10-15), -y RULES.yar (também executar regras YARA, por exemplo as do pesquisador), -o FILE (salvar o relatório).

Se ele encontrar algo

1. Copie Logs/, Preferences.xml e os arquivos sinalizados para um local seguro.
2. Pare o Plex, encerre os processos sinalizados, exclua os arquivos .so plantados (ou todo o diretório Codecs/, que o Plex baixa novamente) e remova TranscoderH264Options do Preferences.xml.
3. Atualize para 1.43.3.10861 ou posterior antes de iniciar o Plex novamente.
4. A cadeia rouba o token do proprietário, então altere sua senha do Plex e use Sair de todos os dispositivos.
5. Se o usuário do Plex tiver acesso a sudo ou docker, ou compartilhar um uid com outros serviços, reconstrua o host ou o contêiner.
6. Pare o encaminhamento de porta 32400, a menos que você precise dele.

Indicadores (dos dados do honeypot)

Tipo	Valor
IPs de exploração	45.194.92.222, 91.92.40.202, 176.65.139.228
Hosts de payload	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
Pool de mineração	ota.proxystream.st:3333, --rig-id plex
Arquivos e processos	/tmp/mylovelyminer<pid> (excluído após o início), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	consulte IOC_SHA256 no script

Limitações

O PMS mantém apenas algumas rotações de log, e os atacantes podem alterar nomes, IPs e caminhos. O script cobre apenas Linux.

Créditos

Lógica de detecção adaptada de code-zm/plex2shell por Zach Main (write-up). Os IOCs em ambiente real vêm do BoredHackerBlog e de seus pcaps.

Licenciado sob GPL-3.0, a mesma licença do conteúdo de detecção que ele adapta.