黑客在 Linux 服务器上植入 GSocket 以维持持久访问

多个威胁行为体正在滥用 GSocket——一款合法的开源远程访问工具——以在修补了用于获得初始访问的漏洞之后，仍维持对 Linux 服务器的访问。

自 3 月以来，对恶意 GSocket 活动的检测有所增加，尤其是在针对 Web 应用和托管环境的攻击中。

GSocket 允许攻击者通过拦截网络连接，并用其自己的传输层替换程序传统的 IP 层通信（该传输层通过 Global Socket Relay Network 路由流量），从而访问防火墙或 NAT 后面的系统。

由于两个端点都主动向中继发起出站连接，中继将二者匹配并促成端到端加密会话，因此攻击者无需被入侵服务器的 IP 地址或主机名即可重新连接。

这使得防御者更难使用基于 IP 或域名的访问控制列表来阻断攻击。

根据 Microsoft Defender for Endpoint 的遥测数据，与 GSocket 相关的检测在 3 月至 8 月间增长了 356.2%。

Microsoft 解释说，被入侵服务器和攻击者都向外发起连接，因此服务器无需任何入站监听植入物，使攻击更加隐蔽。

"被入侵主机和操作者都向外连接到中继，由中继桥接两个会话，" Microsoft 解释道。

"主机无需入站监听器或公网 IP 地址，网络地址转换也无法阻止该连接。"

同样的模式也让攻击者无需使用专门的命令与控制（C2）服务器。

Microsoft 表示，入站防火墙规则无法捕获恶意流量，但出站过滤和出站监控可以。

在检测到的事件中，87.1% 与 Web 应用和托管相关。PHP Web 应用和 cPanel 托管占 63.9%，Apache 占 24.3%。

研究人员观察到攻击者将 GSocket 伪装成内核线程，并使用 cron 任务、systemd 服务和 shell 启动文件来实现持久化。

在某些情况下，攻击者试图利用 "Dirty Frag" Linux 内核缺陷（CVE-2026-43284）来获得主机上的 root 权限。

Microsoft 表示，GSocket 活动的大多数目标位于教育和研究领域，其次是技术与通信、制造业和政府机构。

研究人员建议系统管理员从可能受影响的服务器中移除 GSocket 及相关文件，并确认向其中继网络的出站连接已停止。

他们还建议将出站流量限制在预先确定的目的地，并审计 cron 任务、systemd 服务和 shell 启动文件是否存在流氓添加项。

总体而言，保持操作系统和应用程序为最新版本（包括针对 CVE-2026-43284 的修补）是抵御此类及其他攻击的有力措施。