plex2shell-windows-hunt

针对 Plex2Shell 的威胁情报以及只读的 Windows/Linux 入侵排查：CVE-2026-96652、-96654、-96655 和 -96656。这四个漏洞可串联成 Plex Media Server 1.43.3.10861 之前版本中的未认证 RCE。

文件	说明
Plex2Shell_IOC_IOA_Dossier.md	IOC、IOA、漏洞利用链、Windows 痕迹，以及判断检查脚本是否合法的标准
Invoke-Plex2ShellHunt.patched.ps1	只读排查脚本（Windows PowerShell 5.1 / PowerShell 7+）
reference/	第三方检测内容（见下文）

用法

在 Plex 主机上以管理员权限的 PowerShell 提示符运行：

.\Invoke-Plex2ShellHunt.patched.ps1 -LookbackDays 90 -CollectEvidence

该脚本仅读取系统。除自身报告文件夹（%TEMP%\Plex2ShellHunt_<host>_<timestamp>）外不写入任何内容，也不发起网络请求。

退出码	含义
0	干净
1	仅存在易受攻击的版本
2	可疑
3	疑似已被利用
4	已失陷

与原脚本的差异

原脚本的 SHA-256 为 a200a00545aa85e3d35563e0e099fec5e942ae9d346392efc01abaebd52c5871。

• G1： 在 Plex Transcoder.exe 退出后，检测分离的 rundll32 …\Codecs\…dll,RunShell 载荷宿主。它还会检查每个进程是否加载了 Codecs DLL，并标记这些进程的外部连接。
• G2： 检测以 dump-yuv 写入的文件特征，无论使用了何种填充字节：未映射的 PE 或 ELF 覆盖层、近乎均匀的尾部，以及重复的帧。
• G3： 对不符合同一文件夹中其他文件命名模式的编解码器名称进行评分。在 Windows 上，hevc_decoder.dll 是 PoC 会就地覆盖的真实编解码器，因此仅凭名称只会报告为信息级别。
• 修复： .Modules 列表为 $null 的受保护进程不再引发错误。

2026-10-21 在 PMS 1.43.5.11029（Windows 11，PowerShell 5.1）上经过实地测试。结果为干净，无错误，也无误报。

第三方内容

reference/ 中的文件（plex2shell.yar、plex2shell-hunt.sh、pms_malicious_sample.log）复制自 code-zm/plex2shell 的提交 24e07c02，未经修改。© plex2shell 作者，采用 GPLv3 许可：参见 reference/LICENSE-plex2shell-GPLv3。

来源

• Plex 安全公告
• 研究人员分析文章
• BoredHackerBlog 蜜罐报告