Хакери використовують GSocket для закріплення доступу до серверів Linux

Зловмисники дедалі частіше використовують інструмент віддаленого доступу GSocket для підтримки присутності на зламаних серверах Linux. Цей метод дозволяє хакерам залишатися в системі навіть після усунення первинних вразливостей у вебдодатках, які використовувалися для початкового проникнення. Активність зафіксована переважно у сфері хостингу та вебдодатків.

Про це повідомляє BleepingComputer з посиланням на microsoft.com

GSocket функціонує шляхом передачі даних через спеціальну ретрансляційну мережу Global Socket Relay Network. Оскільки обидва кінцеві вузли встановлюють вихідні з’єднання, атакований сервер не потребує відкриття вхідних портів, що ускладнює виявлення інцидентів традиційними засобами мережевого захисту. Корпорація Microsoft підкреслює, що така модель дозволяє зловмисникам обходити обмеження за IP-адресами чи доменними іменами.

Компрометований вузол і оператор підключаються до ретранслятора, який поєднує ці дві сесії. Хосту не потрібен вхідний слухач або публічна IP-адреса, а трансляція мережевих адрес не перешкоджає з’єднанню.

— Microsoft

За статистикою Microsoft Defender for Endpoint, 87,1% випадків використання інструменту стосувалися вебдодатків та хостингових платформ, зокрема PHP-додатків, cPanel та Apache. Хакери маскують процес GSocket під системні потоки ядра та забезпечують його роботу через завдання cron, сервіси systemd або файли запуску оболонки. У низці випадків зловмисники намагалися підвищити привілеї до рівня root, експлуатуючи вразливість ядра Linux CVE-2026-43284, відому як Dirty Frag.

Дослідники зазначають, що основними цілями атак стали організації в секторах освіти, досліджень, технологій, комунікацій та державного управління. Експерти радять системним адміністраторам перевіряти сервери на наявність GSocket та підозрілих налаштувань, а також обмежувати вихідні з’єднання лише перевіреними напрямками.