plex2shell-check

Проверка на компрометацию в режиме только для чтения для Plex2Shell (CVE-2026-96652, -96654, -96655, -96656) — цепочки неаутентифицированного RCE в Plex Media Server до версии 1.43.3.10861, которая эксплуатируется в дикой природе с 2026-10-17 для установки майнера XMRig и инструмента резидентного прокси.

curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh          # прочитайте перед запуском от имени root
sudo bash plex2shell-check.sh -o plex2shell-report.txt

Код выхода: 0 — чисто, 1 — есть предупреждения для проверки, 2 — найдены индикаторы компрометации. Ничего в системе не изменяется.

Что проверяется

1. Версия: dpkg/rpm, логи PMS и локальная конечная точка /identity.
2. Следы эксплуатации: шаблоны запросов цепочки и IP-адреса атакующих в логах PMS, dump-yuv, оставшийся в TranscoderH264Options в Preferences.xml, внедрённые библиотеки zz<hex>.so в Codecs/ и файлы кодеков с однородным дополненным хвостом, который оставляет запись dump-yuv.
3. Запущенные процессы: mylovelyminer*, myawesomeproxy, x12345, xmrig, удалённые бинарники, работающие от имени пользователя Plex, дочерние процессы транскодера, не относящиеся к Plex, обратные оболочки и удалённые библиотеки Codecs, всё ещё отображённые в памяти. Подозрительные бинарники хешируются через /proc/<pid>/exe и сверяются с известными хешами IOC.
4. Сброшенные файлы в /tmp, /var/tmp, /dev/shm, рабочих каталогах Plex и каталоге данных Plex.
5. Сеть: активные соединения с известными IP-адресами атакующих или портом пула (3333).
6. Закрепление: cron, юниты systemd, SSH-ключи в домашнем каталоге Plex и Docker-контейнеры, похожие на майнеры.

Plex обнаруживается нативно, как snap, в Docker и в любом запущенном контейнере через /proc/<pid>/root. Поэтому однократный запуск на хосте Proxmox также охватывает Plex внутри запущенных LXC-контейнеров. Для виртуальной машины, остановленного контейнера или нестандартного пути запускайте скрипт внутри гостя или передайте -d "/path/to/Plex Media Server".

Опции: -d DIR (дополнительный каталог данных, можно повторять), -s DATE (помечать исполняемые файлы новее этой даты, по умолчанию 2026-10-15), -y RULES.yar (также запустить правила YARA, например от исследователя), -o FILE (сохранить отчёт).

Если что-то найдено

1. Скопируйте Logs/, Preferences.xml и помеченные файлы в безопасное место.
2. Остановите Plex, завершите помеченные процессы, удалите внедрённые файлы .so (или весь каталог Codecs/, который Plex скачает заново) и удалите TranscoderH264Options из Preferences.xml.
3. Обновитесь до 1.43.3.10861 или более поздней версии до повторного запуска Plex.
4. Цепочка похищает токен владельца, поэтому смените пароль Plex и используйте Sign out of all devices.
5. Если пользователь Plex имеет доступ к sudo или docker либо разделяет uid с другими сервисами, пересоберите хост или контейнер.
6. Прекратите проброс порта 32400, если он вам не нужен.

Индикаторы (из данных honeypot)

Тип	Значение
IP-адреса эксплуатации	45.194.92.222, 91.92.40.202, 176.65.139.228
Хосты полезной нагрузки	217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686)
Пул майнинга	ota.proxystream.st:3333, --rig-id plex
Файлы и процессы	/tmp/mylovelyminer<pid> (удаляется после запуска), myawesomeproxy, x12345, /tmp/xsetup.lock, Codecs/*/zz<hex>.so
SHA-256	см. IOC_SHA256 в скрипте

Ограничения

PMS хранит лишь несколько ротаций логов, а атакующие могут менять имена, IP-адреса и пути. Скрипт поддерживает только Linux.

Благодарности

Логика обнаружения адаптирована из code-zm/plex2shell авторства Zach Main (описание). IOC из дикой природы взяты из BoredHackerBlog и его pcaps.

Лицензия GPL-3.0 — та же, что и у адаптированного контента обнаружения.