GSocket: a patch sem segít a Linux-szervereken
A Microsoft biztonsági kutatói arra figyelmeztetnek, hogy kiberbűnözők egyre gyakrabban használják a GSocket nevű nyílt forráskódú távoli hozzáférési eszközt kompromittált Linux-kiszolgálók ellenőrzésére. A közzétett elemzés szerint a támadók ezzel olyan rejtett hozzáférést alakíthatnak ki, amely az eredetileg kihasznált sérülékenység kijavítása után is működőképes marad.
A Microsoft Defender for Endpoint adatai alapján 2026 márciusa és augusztusa között 356,2 százalékkal nőtt azoknak az eszközöknek a száma, amelyeken GSockethez kapcsolódó aktivitást észleltek. Az azonosítható incidensek 87,1 százaléka webalkalmazásokhoz és tárhelyszolgáltatási környezetekhez kapcsolódott. Az érintett szervezetek között az oktatási és kutatási intézmények, valamint a technológiai és távközlési vállalatok képviseltették magukat a legnagyobb arányban.
A támadások jellemzően internet felől elérhető webalkalmazások sérülékenységeinek kihasználásával kezdődtek. A támadók a megszerzett parancsvégrehajtási lehetőséggel letöltötték és elindították a GSocket klienst, majd a rendszerben tartós működést biztosító mechanizmusokat hoztak létre.
A GSocket különlegessége, hogy a fertőzött szerver és a támadó egyaránt a nyilvános Global Socket Relay Network hálózathoz kapcsolódik. A szolgáltatás végpontok közötti titkosított kommunikációt biztosít, így a támadónak nincs szüksége saját vezérlőszerverre, nyilvános IP-címre vagy bejövő hálózati kapcsolatra. Ez megnehezíti a hagyományos, ismert támadói IP-címek blokkolására épülő védekezést.
A kutatók olyan eseteket is megfigyeltek, amelyekben a támadók rendszerszolgáltatásokra emlékeztető folyamatnevekkel rejtették el az eszközt, illetve cron-feladatokkal és systemd-szolgáltatásokkal biztosították annak újraindítás utáni működését. Néhány támadás során a CVE-2026-43284 azonosítójú, Dirty Frag néven is ismert Linux-kernel-sérülékenység kihasználásával próbáltak rendszergazdai jogosultságot szerezni.
A Microsoft hangsúlyozza, hogy a GSocket önmagában legitim rendszergazdai eszköz, amelyet több, egymástól független támadói szereplő használ visszaélésszerűen. A kutatás nem egyetlen összehangolt támadási kampányt, hanem egy terjedő támadási módszert dokumentál.
A vállalatok számára a legfontosabb tanulság, hogy egy sérülékenység javítása nem feltétlenül szünteti meg a korábban megszerzett támadói hozzáférést. Az érintett Linux-kiszolgálókon ellenőrizni kell a gyanús folyamatokat, az automatikusan induló szolgáltatásokat és a kimenő hálózati kapcsolatokat, valamint el kell távolítani a telepített támadóeszközöket és azok fennmaradást biztosító összetevőit.
