Angreifer missbrauchen GSocket für dauerhaften Zugriff auf Linux-Server
Seit März nehmen die Erkennungen von missbräuchlich eingesetztem GSocket deutlich zu, besonders bei Angriffen auf Webanwendungen und Hosting-Umgebungen, berichtet BleepingComputer unter Berufung auf Microsoft. Mehrere Bedrohungsakteure verwenden das legitime Open-Source-Werkzeug, um den Zugang zu kompromittierten Linux-Servern auch nach dem Patchen der Schwachstellen aufrechtzuerhalten, über die sie den Erstzugriff erlangt haben.
GSocket ersetzt die herkömmliche Kommunikation auf IP-Ebene durch einen eigenen Transportweg über das Global Socket Relay Network, erklärt Microsoft laut BleepingComputer. Sowohl der kompromittierte Server als auch der Angreifer bauen eine ausgehende Verbindung zum Relay auf. Dieses verbindet beide Sitzungen zu einer Ende-zu-Ende-verschlüsselten Verbindung. Der Angreifer benötigt deshalb weder die IP-Adresse noch den Hostnamen des Servers. Microsoft zufolge braucht der Server außerdem keinen eingehenden Listener und keine öffentliche IP-Adresse; auch Network Address Translation verhindert die Verbindung nicht. Eingehende Firewall-Regeln erfassen den Datenverkehr laut Microsoft nicht zuverlässig, während die Überwachung ausgehender Verbindungen und Egress-Filter ihn sichtbar machen können.
Die Telemetrie von Microsoft Defender for Endpoint verzeichnete zwischen März und August 356,2 Prozent mehr GSocket-bezogene Erkennungen, schreibt BleepingComputer. 87,1 Prozent der erkannten Vorfälle betrafen demnach Webanwendungen und Hosting. PHP-Webanwendungen und cPanel-Hosting machten 63,9 Prozent aus, Apache weitere 24,3 Prozent. Die meisten betroffenen Ziele lagen laut Microsoft im Bildungs- und Forschungsbereich. Danach folgten Technologie und Kommunikation, Fertigung sowie staatliche Einrichtungen.
Die von Microsoft beobachteten Angreifer tarnten GSocket laut BleepingComputer unter anderem als Kernel-Threads. Für die Persistenz, also den dauerhaften Start nach einer Anmeldung oder einem Neustart, verwendeten sie Cron-Jobs, systemd-Dienste und Shell-Startdateien. In einigen Fällen versuchten sie außerdem, die Linux-Kernel-Schwachstelle Dirty Frag (CVE-2026-43284) auszunutzen, um Root-Rechte auf dem Server zu erlangen.
Für möglicherweise betroffene Server empfehlen die Forscher laut BleepingComputer, GSocket und zugehörige Dateien zu entfernen und anschließend zu kontrollieren, ob Verbindungen zum Relay-Netzwerk beendet wurden. Administratoren sollten ausgehende Verbindungen auf vorab festgelegte Ziele beschränken und Cron-Jobs, systemd-Dienste sowie Shell-Startdateien auf nachträglich eingefügte Einträge prüfen. Microsofts Empfehlung umfasst außerdem aktuelle Betriebssysteme und Anwendungen sowie einen Patch gegen CVE-2026-43284.