plex2shell-windows-hunt

Данные threat intel и проверка на компрометацию Windows/Linux в режиме только чтения для Plex2Shell: CVE-2026-96652, -96654, -96655 и -96656. Эти четыре уязвимости в цепочке приводят к неаутентифицированному RCE в Plex Media Server версий до 1.43.3.10861.

Файл	Что это
Plex2Shell_IOC_IOA_Dossier.md	IOC, IOA, цепочка эксплуатации, артефакты Windows и критерии оценки того, является ли скрипт-проверяльщик легитимным
Invoke-Plex2ShellHunt.patched.ps1	Скрипт поиска в режиме только чтения (Windows PowerShell 5.1 / PowerShell 7+)
reference/	Сторонний контент для обнаружения (см. ниже)

Использование

Запустите его из PowerShell с повышенными правами на хосте Plex:

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

Скрипт только читает систему. Он ничего не записывает за пределы своей папки отчётов (%TEMP%\Plex2ShellHunt_<host>_<timestamp>) и не выполняет сетевых вызовов.

Код выхода	Значение
0	Чисто
1	Только уязвимая версия
2	Подозрительно
3	Вероятно, эксплуатировалось
4	Скомпрометировано

Изменения относительно оригинального скрипта

Оригинальный скрипт имеет SHA-256 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871.

• G1: обнаруживает отсоединённый хост полезной нагрузки rundll32 …\Codecs\…dll,RunShell после завершения Plex Transcoder.exe. Также проверяет каждый процесс на загруженные DLL Codecs и отмечает внешние подключения от этих процессов.
• G2: обнаруживает форму файла, записанного с помощью dump-yuv, независимо от использованного байта заполнения: несопоставленный оверлей PE или ELF, почти однородный хвост и повторяющийся кадр.
• G3: оценивает имена кодеков, которые нарушают шаблон именования других файлов в той же папке. В Windows hevc_decoder.dll — это настоящий кодек, который PoC перезаписывает на месте, поэтому одно лишь имя сообщается только как Info.
• Исправление: защищённый процесс со списком .Modules, равным $null, больше не вызывает ошибку.

Проверено на практике 2026-10-21 на PMS 1.43.5.11029 (Windows 11, PowerShell 5.1). Результат — чисто, без ошибок и без ложных срабатываний.

Сторонний контент

Файлы в reference/ (plex2shell.yar, plex2shell-hunt.sh, pms_malicious_sample.log) скопированы без изменений из code-zm/plex2shell на коммите 24e07c02. © авторы plex2shell, лицензия GPLv3: см. reference/LICENSE-plex2shell-GPLv3.

Источники

• Рекомендации по безопасности Plex
• Отчёт исследователя
• Отчёт о ханипоте BoredHackerBlog