Vários threat actors estão abusando do GSocket, uma ferramenta legítima e open source de acesso remoto, para manter o acesso a servidores Linux mesmo depois que as vulnerabilidades exploradas para obter acesso inicial são corrigidas.
Desde março, as detecções de atividades maliciosas relacionadas ao GSocket aumentaram, sobretudo em ataques contra aplicativos web e ambientes de hospedagem.
O GSocket permite que invasores alcancem sistemas protegidos por firewalls ou NAT. Para isso, redireciona a comunicação de rede convencional do programa para uma camada de transporte própria, que encaminha o tráfego pela Global Socket Relay Network.
Como os dois endpoints iniciam conexões de saída com o retransmissor, que os associa e intermedeia uma sessão criptografada de ponta a ponta, o invasor pode se reconectar sem precisar saber o endereço IP ou o nome do servidor comprometido.
Isso dificulta a interrupção dos ataques por meio de listas de controle de acesso baseadas em endereços IP ou domínios.
De acordo com a telemetria do Microsoft Defender for Endpoint, as detecções relacionadas ao GSocket aumentaram 356,2% entre março e agosto.
A Microsoft explica que tanto o servidor comprometido quanto o invasor se conectam ao retransmissor por meio de conexões de saída. Assim, o servidor não precisa de implantes que aguardem conexões de entrada, o que torna o ataque mais discreto.
“O host comprometido e o operador se conectam ao retransmissor por conexões de saída, e ele faz a ponte entre as duas sessões”, explica a Microsoft.
“O host não precisa de um ponto de escuta para conexões de entrada nem de um endereço IP público, e o NAT não impede a conexão.”
Esse modelo também elimina a necessidade de os invasores usarem um servidor dedicado de command and control (C2).
Segundo a Microsoft, regras de entrada do firewall não detectam o tráfego malicioso, mas a filtragem do tráfego de saída e o monitoramento dessas conexões podem identificá-lo.
Entre os incidentes detectados, 87,1% estavam relacionados a aplicativos web e serviços de hospedagem. Aplicativos web em PHP e serviços de hospedagem cPanel representaram 63,9% dos casos, enquanto o Apache respondeu por 24,3%.
Os pesquisadores observaram invasores disfarçando o GSocket como threads do kernel e usando tarefas do cron, serviços do systemd e arquivos de inicialização do shell para manter a persistência.
Em alguns casos, os invasores tentaram explorar a falha “Dirty Frag” no kernel do Linux (
CVE-2026-43284
) para obter privilégios de superusuário no host.
A Microsoft afirma que a maioria dos alvos das atividades relacionadas ao GSocket pertence aos setores de educação e pesquisa. Em seguida, aparecem empresas de tecnologia e comunicações, indústrias e órgãos governamentais.
Os pesquisadores recomendam que administradores de sistemas removam o GSocket e os arquivos associados de servidores potencialmente afetados e verifiquem se as conexões de saída com a rede de retransmissão foram interrompidas.
Também aconselham restringir o tráfego de saída a destinos predefinidos e auditar tarefas do cron, serviços do systemd e arquivos de inicialização do shell em busca de alterações não autorizadas.
De modo geral, manter o sistema operacional e os aplicativos atualizados, inclusive aplicando a correção da
CVE-2026-43284
, é uma medida eficaz contra esse e outros ataques.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...