---
title: "Хакери використовують GSocket для закріплення доступу до серверів Linux"
url: "https://www.faktyua24.com/hakeri-vikoristovuyut-gsocket-zakriplennya-dostupu-serveriv-linux-8bbe54/"
published: "2026-11-12T11:38:00+02:00"
modified: "2026-11-12T12:05:16+02:00"
section: "Технології"
language: "uk"
publisher: "Факти Україна 24"
---

# Хакери використовують GSocket для закріплення доступу до серверів Linux

![Hackers plant GSocket on Linux servers for persistent access](https://www.faktyua24.com/wp-content/uploads/2026/11/0737fee6288bb2627b657997d1af73d4-1024x574.webp)

- Зловмисники використовують легітимний інструмент GSocket для збереження контролю над серверами Linux після виправлення початкових вразливостей.
- Згідно з даними Microsoft, кількість виявлень активності GSocket зросла на 356,2% у період з березня по серпень поточного року.
- Для захисту фахівці рекомендують впровадити фільтрацію вихідного трафіку та проводити аудит системних служб і завдань cron.

Зловмисники дедалі частіше використовують інструмент віддаленого доступу GSocket для підтримки присутності на зламаних серверах Linux. Цей метод дозволяє хакерам залишатися в системі навіть після усунення первинних вразливостей у вебдодатках, які використовувалися для початкового проникнення. Активність зафіксована переважно у сфері хостингу та вебдодатків.

GSocket функціонує шляхом передачі даних через спеціальну ретрансляційну мережу Global Socket Relay Network. Оскільки обидва кінцеві вузли встановлюють вихідні з’єднання, атакований сервер не потребує відкриття вхідних портів, що ускладнює виявлення інцидентів традиційними засобами мережевого захисту. Корпорація Microsoft підкреслює, що така модель дозволяє зловмисникам обходити обмеження за IP-адресами чи доменними іменами.

> Компрометований вузол і оператор підключаються до ретранслятора, який поєднує ці дві сесії. Хосту не потрібен вхідний слухач або публічна IP-адреса, а трансляція мережевих адрес не перешкоджає з’єднанню.

— Microsoft

За статистикою Microsoft Defender for Endpoint, 87,1% випадків використання інструменту стосувалися вебдодатків та хостингових платформ, зокрема PHP-додатків, cPanel та Apache. Хакери маскують процес GSocket під системні потоки ядра та забезпечують його роботу через завдання cron, сервіси systemd або файли запуску оболонки. У низці випадків зловмисники намагалися підвищити привілеї до рівня root, експлуатуючи вразливість ядра Linux CVE-2026-43284, відому як Dirty Frag.

Дослідники зазначають, що основними цілями атак стали організації в секторах освіти, досліджень, технологій, комунікацій та державного управління. Експерти радять системним адміністраторам перевіряти сервери на наявність GSocket та підозрілих налаштувань, а також обмежувати вихідні з’єднання лише перевіреними напрямками.