plex2shell-windows-hunt

Inteligência de ameaças e uma verificação de comprometimento somente leitura para Windows/Linux do Plex2Shell: CVE-2026-96652, -96654, -96655 e -96656. Essas quatro falhas se encadeiam em RCE não autenticado no Plex Media Server em versões anteriores à 1.43.3.10861.

Arquivo	O que é
Plex2Shell_IOC_IOA_Dossier.md	IOCs, IOAs, a cadeia de exploração, artefatos do Windows e critérios para julgar se um script de verificação é legítimo
Invoke-Plex2ShellHunt.patched.ps1	Script de caça somente leitura (Windows PowerShell 5.1 / PowerShell 7+)
reference/	Conteúdo de detecção de terceiros (veja abaixo)

Uso

Execute-o a partir de um prompt do PowerShell elevado no host do Plex:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

O script apenas lê o sistema. Ele não grava nada fora da sua própria pasta de relatórios (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) e não faz chamadas de rede.

Código de saída	Significado
0	Limpo
1	Apenas versão vulnerável
2	Suspeito
3	Provavelmente explorado
4	Comprometido

Alterações em relação ao script original

O script original tem SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.

• G1: detecta o host de payload rundll32 …\Codecs\…dll,RunShell desanexado após o encerramento do Plex Transcoder.exe. Também verifica todos os processos em busca de DLLs Codecs carregadas e sinaliza conexões externas desses processos.
• G2: detecta a forma de um arquivo gravado com dump-yuv, independentemente do byte de preenchimento usado: um overlay PE ou ELF não mapeado, uma cauda quase uniforme e um quadro repetido.
• G3: pontua nomes de codecs que quebram o padrão de nomenclatura dos outros arquivos na mesma pasta. No Windows, hevc_decoder.dll é um codec genuíno que o PoC sobrescreve no local, portanto o nome por si só é reportado apenas como Info.
• Correção: um processo protegido com uma lista .Modules $null não gera mais erro.

Testado em campo em 2026-10-21 no PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). O resultado foi limpo, sem erros e sem falsos positivos.

Conteúdo de terceiros

Os arquivos em reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) são copiados sem modificação de code-zm/plex2shell no commit 24e07c02. © os autores do plex2shell, licenciado sob GPLv3: veja reference/LICENSE-plex2shell-GPLv3.

Fontes

• Aviso de segurança do Plex
• Relato do pesquisador
• Relatório de honeypot do BoredHackerBlog