Хакеры используют GSocket для скрытого закрепления на Linux-серверах

Специалисты Microsoft и издания BleepingComputer предупредили о росте атак, в которых злоумышленники используют легитимный open-source-инструмент GSocket, чтобы сохранять скрытый доступ к взломанным Linux-серверам даже после установки патчей. Чаще всего целью становятся веб-приложения и хостинг.

Как работает GSocket

GSocket — открытый инструмент удалённого доступа, который заменяет обычную IP-коммуникацию собственной транспортной схемой: трафик проходит через глобальную ретрансляционную сеть Global Socket Relay Network. Заражённый сервер и оператор одновременно устанавливают исходящие соединения с ретранслятором, который связывает их в зашифрованный сеанс.

Серверу не нужен входящий listener и публичный IP-адрес.
Атакующий может переподключаться, не зная IP-адреса или имени хоста жертвы.
Для работы не нужен выделенный command-and-control сервер.

Это делает атаку малозаметной: входящие правила файрвола её не ловят, а блокировки по IP и доменным спискам малоэффективны.

Масштаб и динамика

По телеметрии Microsoft Defender for Endpoint, с марта по август число детектирований, связанных с GSocket, выросло на 356,2 %. В 87,1 % случаев речь шла о веб-приложениях и хостинге: на PHP-приложения и cPanel-хостинг пришлось 63,9 %, на Apache — 24,3 %.

Как злоумышленники закрепляются в системе

Для постоянного присутствия атакующие маскируют GSocket под потоки ядра и используют cron-задачи, сервисы systemd и файлы автозапуска оболочки. В ряде случаев предпринимались попытки эксплуатировать уязвимость ядра Linux «Dirty Frag» (CVE-2026-43284) для получения root-прав.

Кто под ударом и что делать

Среди целей Microsoft называет сектор образования и исследований, затем — технологии и связь, производство и государственные организации. Специалисты рекомендуют удалять GSocket и связанные с ним файлы, проверять исходящие соединения с ретрансляционной сетью, ограничивать исходящий трафик и аудировать cron, systemd и файлы автозапуска. Важно также установить обновления ОС и приложений, включая исправление CVE-2026-43284.

Частые вопросы

Что такое GSocket и почему его используют хакеры?

Это легитимный открытый инструмент удалённого доступа, который позволяет устанавливать соединения через NAT и файрволы. Хакеры применяют его, чтобы незаметно сохранять доступ к взломанным Linux-серверам без выделенного C2-сервера и без входящих подключений.

Как понять, что сервер заражён GSocket?

Стоит проверить исходящие соединения с ретрансляционной сетью GSocket, а также провести аудит cron-задач, сервисов systemd и файлов автозапуска оболочки на предмет посторонних записей.

Кто в зоне риска?

Прежде всего веб-приложения и хостинг (PHP, cPanel, Apache), а также организации из сферы образования, технологий и связи, производства и госсектора.

Как защититься от этой угрозы?

Удалить GSocket и связанные файлы, ограничить исходящий трафик, регулярно обновлять ОС и приложения, а также установить исправление уязвимости CVE-2026-43284.

Источники: bleepingcomputer.com, microsoft.com

Киберпреступность