Saldırganlar Linux sunucularda GSocket ile kalıcı erişim sağlıyor

Birden çok tehdit grubu, kullandıkları açıklar yamalandıktan sonra da Linux sunucularda kalmak için meşru bir uzaktan erişim aracı olan GSocket'i kullanıyor.

Microsoft Defender for Endpoint telemetrisine göre, Mart ile Ağustos ayları arasında GSocket ile ilişkili tespitler yüzde 356,2 arttı. GSocket, saldırganların ilk erişimi sağladığı açıklar yamalandıktan sonra bile sunuculara yeniden bağlanmasına imkân veriyor. Hem ele geçirilen makine hem de saldırgan bir aktarma ağına dışarıya doğru bağlandığı için gelen bağlantı dinleyicisine ya da herkese açık bir adrese ihtiyaç duyulmuyor. Bu durum, IP ya da alan adına dayalı engellemeyi çok daha az etkili kılıyor.

Tespit edilen etkinliğin büyük kısmı web uygulamaları ve barındırma ortamlarında gerçekleşti. PHP uygulamaları ve cPanel hesapları tespitlerin yüzde 63,9'unu oluşturuyor. Olayların yüzde 87,1'i web uygulamaları ve barındırmayla ilgili.

Bazı durumlarda saldırganların, ana makinede root yetkisi elde etmek için Dirty Frag Linux çekirdek açığını (CVE-2026-43284) istismar etmeye çalıştığı görüldü. Microsoft, GSocket'i ve ilişkili dosyaları kaldırmayı, dışa giden aktarma bağlantılarının durduğunu doğrulamayı, dışa giden trafiği onaylı hedeflerle sınırlamayı ve cron işlerini, systemd servislerini ile kabuk başlangıç dosyalarını denetlemeyi öneriyor. Ayrıca yamaların gecikmeden uygulanması tavsiye ediliyor; bunlar arasında CVE-2026-43284 de yer alıyor.