Злоумышленники используют GSocket для постоянного доступа к Linux-серверам
Злоумышленники используют легитимный инструмент удалённого доступа GSocket, чтобы сохранять контроль над Linux-серверами даже после установки патчей на уязвимости, через которые они проникли.
Главное в цифрах
- Рост срабатываний, связанных с GSocket, с марта по август: 356,2%
- Доля инцидентов в веб-приложениях и хостинге: 87,1%
- PHP-приложения и аккаунты cPanel: 63,9%
- Apache: 24,3%
По телеметрии Microsoft Defender for Endpoint число срабатываний, связанных с GSocket, выросло на 356,2% в период с марта по август. Около 87,1% инцидентов пришлось на веб-приложения и хостинг, из них 63,9% на PHP-приложения и аккаунты cPanel, а 24,3% на Apache.
GSocket это открытый инструмент, который позволяет подключаться к системам за файрволом или NAT. Он перехватывает сетевые соединения и передаёт трафик через сеть ретрансляторов Global Socket Relay Network. Обе стороны устанавливают исходящие соединения к ретранслятору, который сводит их и организует сквозной зашифрованный сеанс. Поэтому атакующему не нужен IP-адрес или имя взломанного сервера, чтобы переподключиться.
Как атакующие закрепляются
Исследователи зафиксировали, что злоумышленники маскируют GSocket под потоки ядра и закрепляются через cron-задания, службы systemd и файлы запуска оболочки. В некоторых случаях они пытались использовать уязвимость Linux «Dirty Frag» (CVE-2026-43284), чтобы получить права root.
Поскольку соединения устанавливаются наружу, входящие правила файрвола такой трафик не выявляют. Модель также позволяет обходиться без отдельного сервера управления (C2). Блокировать атаку по IP-адресам или доменам поэтому сложнее.
Что рекомендуют администраторам
Microsoft советует удалить GSocket и связанные с ним файлы с потенциально затронутых серверов и проверить, что исходящие подключения к его сети ретрансляторов прекратились. Также рекомендуется ограничить исходящий трафик заранее заданными адресатами и проверить cron-задания, службы systemd и файлы запуска оболочки на наличие посторонних записей. Обновление ОС и приложений, включая установку патча для CVE-2026-43284, остаётся важной мерой защиты.
