针对 Plex2Shell（CVE-2026-96652、-96654、-96655、-96656）的只读入侵检查。Plex2Shell 是 1.43.3.10861 之前版本 Plex Media Server 中的未认证 RCE 攻击链，自 2026-10-17 起已在野被利用，用于投放 XMRig 挖矿程序和住宅代理工具。
curl -fsSLO https://raw.githubusercontent.com/ChrisLPJones/plex2shell-check/main/plex2shell-check.sh
less plex2shell-check.sh # read it before running anything as root
sudo bash plex2shell-check.sh -o plex2shell-report.txt
退出码：0 表示干净，1 表示有警告需复核，2 表示发现入侵指标。不会修改系统上的任何内容。
/identity 端点。Preferences.xml 中 TranscoderH264Options 里残留的 dump-yuv、Codecs/ 中被植入的 zz<hex>.so 库，以及带有 dump-yuv 写入所留下的统一填充尾部的编解码器文件。mylovelyminer*、myawesomeproxy、x12345、xmrig、以 Plex 用户身份运行的已删除二进制文件、转码器的非 Plex 子进程、反弹 shell，以及仍映射在内存中的已删除 Codecs 库。可疑二进制文件会通过 /proc/<pid>/exe 计算哈希，并与已知 IOC 哈希比对。/tmp、/var/tmp、/dev/shm、Plex 工作目录和 Plex 数据目录中。Plex 的发现方式包括原生安装、snap、Docker，以及通过 /proc/<pid>/root 发现的任何运行中容器内的 Plex。因此，在 Proxmox 主机上运行一次，也能覆盖运行中 LXC 容器内的 Plex。对于虚拟机、已停止的容器或自定义路径，请在客户机内运行，或传入 -d "/path/to/Plex Media Server"。
选项：-d DIR（额外数据目录，可重复指定）、-s DATE（标记比此日期更新的可执行文件，默认 2026-10-15）、-y RULES.yar（同时运行 YARA 规则，例如研究人员的规则）、-o FILE（保存报告）。
Logs/、Preferences.xml 和被标记的文件复制到安全位置。.so 文件（或整个 Codecs/ 目录，Plex 会重新下载），并从 Preferences.xml 中移除 TranscoderH264Options。| 类型 | 值 |
|---|---|
| 利用 IP | 45.194.92.222, 91.92.40.202, 176.65.139.228 |
| 载荷主机 | 217.60.194.116, 77.90.185.205 (/m/sh, /m/xmrig, /p/i686) |
| 矿池 | ota.proxystream.st:3333, --rig-id plex |
| 文件和进程 | /tmp/mylovelyminer<pid>（启动后删除）、myawesomeproxy、x12345、/tmp/xsetup.lock、Codecs/*/zz<hex>.so |
| SHA-256 | 见脚本中的 IOC_SHA256 |
PMS 仅保留少量日志轮转，且攻击者可以更改名称、IP 和路径。该脚本仅支持 Linux。
检测逻辑改编自 Zach Main 的 code-zm/plex2shell（文章）。在野 IOC 来自 BoredHackerBlog 及其 pcaps。
采用 GPL-3.0 许可，与其改编的检测内容使用相同许可证。