🔍 Contexte

Article publié le 18 octobre 2026 sur le blog BoredHackerBlog, rédigé par un chercheur en sécurité et utilisateur Plex ayant mis en place un honeypot pour observer l’exploitation in-the-wild de vulnérabilités annoncées par Plex le 1er septembre 2026.

🛡️ Vulnérabilités exploitées

Le chercheur zmain a découvert et chaîné plusieurs vulnérabilités dans Plex Media Server v1.43.2 et antérieures pour obtenir une exécution de code à distance (RCE). Les CVE associées sont :

  • CVE-2026-96652
  • CVE-2026-96654
  • CVE-2026-96655
  • CVE-2026-96656

Le code d’exploitation public (plex2shell) a été publié le 16 octobre 2026 sur GitHub.

🚨 Exploitation observée

Dès le 17 octobre 2026, le honeypot a enregistré des tentatives d’exploitation actives depuis plusieurs adresses IP :

  • 45.194.92.222 (premier attaquant observé, utilisant Python-urllib/3.10)
  • 91.92.40.202
  • 176.65.139.228

Les payloads sont téléchargés depuis 217.60.194.116.

💣 Payloads déployés

Deux types de charges malveillantes ont été identifiés :

  1. Cryptomineur (XMRig) — déployé via un fichier Docker
  2. myawesomeproxy — un proxy résidentiel affichant le message “Running this software on any of your devices makes you agree to the potential external use of your internet traffic”, lié à l’infrastructure proxystream.st et associé au botnet Aisuru

📁 Artefacts

Le chercheur a publié des PCAPs pour la détection sur GitHub, ainsi que les artefacts malveillants. Des rapports sandbox sont disponibles sur any.run et tria.ge.

📰 Type d’article

Il s’agit d’une analyse technique de threat intelligence basée sur des observations honeypot, visant à documenter l’exploitation in-the-wild et fournir des IOCs et PCAPs exploitables pour la détection.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1496 — Resource Hijacking (Impact)
  • T1090 — Proxy (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 19 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • XMRig (other)
  • myawesomeproxy (tool)
  • plex2shell (tool)

🟢 Indice de vérification factuelle : 65/100 (haute)

  • ⬜ boredhackerblog.info — source non référencée (0pts)
  • ✅ 5414 chars — texte complet (15pts)
  • ✅ 18 IOCs dont des hashes (15pts)
  • ✅ 7/7 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 4/4 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 45.194.92.222 (ip) → AbuseIPDB (100% confiance, 193 signalements) + VT (4/92 détections)
  • 91.92.40.202 (ip) → AbuseIPDB (100% confiance, 4130 signalements) + VT (12/92 détections)
  • 176.65.139.228 (ip) → AbuseIPDB (100% confiance, 99 signalements) + VT (16/92 détections) + ThreatFox (Mirai)
  • 5712ef510481f15f… (sha256) → VT (3/76 détections)
  • 68938fb428f2bcfe… (sha256) → VT (19/76 détections)

🔗 Source originale : https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html?m=1

🖴 Archive : https://web.archive.org/web/20261019071927/https://www.boredhackerblog.info/2026/10/plex-vulnerabilities-being-exploited-in.html?m=1