Зловмисники використовують GSocket для доступу до Linux-серверів
Зловмисники використовують GSocket для збереження доступу до Linux-серверів після усунення початкових вразливостей.
Кілька груп зловмисників використовують легітимний інструмент віддаленого доступу з відкритим кодом GSocket, щоб зберігати доступ до Linux-серверів після усунення вразливостей, через які вони проникли в системи. Про це повідомляє BleepingComputer.
З березня фіксують зростання шкідливої активності, пов’язаної з GSocket, передусім в атаках на вебзастосунки та середовища хостингу. За телеметрією Microsoft Defender for Endpoint, кількість відповідних виявлень між березнем і серпнем зросла на 356,2%.
Як працює інструмент
GSocket дає змогу встановлювати зв’язок із системами, розташованими за файрволами або NAT. Обидві сторони — скомпрометований сервер і оператор атаки — ініціюють вихідні підключення до Global Socket Relay Network, яка зіставляє сесії та забезпечує наскрізно зашифрований зв’язок.
За такого підходу зловмисникові не потрібні IP-адреса або доменне ім’я скомпрометованого сервера, щоб відновити доступ. На сервері також не потрібно розгортати вхідний мережевий слухач або мати публічну IP-адресу. Це ускладнює блокування атаки за списками контролю доступу, що ґрунтуються на IP-адресах чи доменах, а також зменшує потребу в окремому сервері керування й контролю.
Цілі та способи закріплення
У 87,1% зафіксованих інцидентів активність стосувалася вебзастосунків і хостингу. На PHP-застосунки та хостинг із cPanel припало 63,9% випадків, на Apache — 24,3%. Найчастіше цілями були організації у сферах освіти й досліджень, технологій і комунікацій, виробництва та державного сектору.
Дослідники спостерігали, як зловмисники маскували GSocket під потоки ядра та використовували для закріплення в системі завдання cron, служби systemd і файли запуску оболонки. В окремих випадках вони намагалися використати вразливість ядра Linux Dirty Frag, ідентифіковану як CVE-2026-43284, для отримання прав root.
Microsoft радить адміністраторам видалити GSocket і пов’язані файли з потенційно уражених серверів, перевірити припинення вихідних з’єднань із мережею ретрансляції та обмежити вихідний трафік визначеними адресатами. Також рекомендують перевірити cron, systemd і файли запуску оболонки на сторонні зміни та встановити оновлення операційної системи й застосунків, зокрема виправлення для CVE-2026-43284.
