Backdoor GSocket na linuxových webových serverech: ověřte PHP, cPanel a Apache hostitele kvůli kompromitaci

Co se stalo

Dne 11. listopadu 2026 zveřejnil Microsoft výzkum několika samostatných skupin útočníků, které instalují GSocket na napadené linuxové servery. BleepingComputer o tom informoval 12. listopadu 2026. GSocket je legitimní open-source nástroj pro vzdálený přístup. Jakmile běží na serveru, navazují na veřejnou relé službu Global Socket Relay Network odchozí spojení jak server, tak útočník. Relé pak obě strany propojí do šifrované relace. Server nepotřebuje otevřený port ani veřejnou IP adresu. Útočníci neprovozují vlastní infrastrukturu, takže neexistuje žádná IP adresa ani doména útočníka, kterou by bylo možné blokovat.

Jde o problém, který nespočívá v zranitelnosti GSocketu. Útočníci nejprve proniknou do webové aplikace dostupné z internetu a poté nainstalují GSocket, aby si udrželi přístup. Protože GSocket běží odděleně od aplikace, oprava aplikace jej neodstraní. Microsoft uvádí, že detekce spojené s GSocketem v jeho telemetrii vzrostly mezi březnem a srpnem 2026 o 356,2 %.

Microsoft popisuje útoky takto:

• Útočníci zneužijí webovou aplikaci a pomocí curl stáhnou a spustí instalační skript.
• Skript umístí klienta GSocket do zapisovatelných nebo paměťových cest, například /dev/shm.
• Proces se maskuje za názvy připomínající jádrová vlákna, například [kaluad], nebo za systémově vyhlížející názvy jako systemd-remount-d a /usr/bin/defunct.
• Perzistence se nastavuje přes cron úlohy, systemd služby, shell startovací soubory, watchdogy a další kopie. Pomocné soubory se pak smažou a časová razítka souborů se zpětně upraví.
• V několika případech se útočníci pokusili získat root přes chybu jádra Linuxu CVE-2026-43284, známou jako „Dirty Frag“.

Kdo je ohrožen

Jde o linuxové servery provozující webové aplikace dostupné z internetu, které byly v určitém okamžiku napadeny. Podle dat Microsoftu se 87,1 % incidentů týkalo webových aplikací a hostingu. V této skupině tvořily PHP aplikace a hosting cPanel 63,9 % a Apache 24,3 %. Microsoft také eviduje upozornění na shelly spuštěné z webových aplikací v Javě a Node.js. Zvlášť stojí za kontrolu servery, kde byla nedávno nalezena a opravena chyba webové aplikace, protože útočníci se mohli dostat dovnitř dříve, než byla oprava nasazena.

Servery, jejichž webové aplikace nikdy napadeny nebyly, ohroženy nejsou. GSocket nainstalovaný úmyslně vaším vlastním týmem sám o sobě není známkou kompromitace.

Co udělat hned

1. Zkontrolujte každý linuxový webový server dostupný z internetu podle kroků v další sekci. Začněte u serverů, kde byla v posledních měsících opravena chyba webové aplikace, CMS, pluginu nebo hostingového panelu.
2. Pokud najdete GSocket, považujte server za kompromitovaný. Ukončete proces. Poté odstraňte binárku, všechny kopie a všechny položky automatického spouštění: cron, systemd jednotky, shell startovací soubory a skripty watchdogu. Microsoft upozorňuje, že perzistence bývá vrstvená, takže samotné ukončení procesu přístup neodstraní. Pokud mohli útočníci získat root, například přes CVE-2026-43284, je nejbezpečnější server znovu nainstalovat z čistého obrazu nebo ze zálohy vytvořené před kompromitací.
3. Změňte přihlašovací údaje na postiženém serveru: hesla k databázím, tajemství aplikací, API klíče a SSH klíče. Zkontrolujte také authorized_keys a hledejte neznámé položky.
4. Najděte a uzavřete vstupní cestu. Aktualizujte webové aplikace, CMS, pluginy a aplikační servery. Odstraňte komponenty, které nepoužíváte, a omezte cesty pro nahrávání souborů a administraci.
5. Opravte jádro proti CVE-2026-43284 („Dirty Frag“) aktualizací jádra od vaší distribuce a restartujte do nového jádra.
6. Omezte odchozí provoz. Kde je to možné, blokujte odchozí spojení ve výchozím nastavení a povolte pouze cíle, které server potřebuje. Provoz GSocketu je pouze odchozí, takže pravidla příchozího firewallu ho nezachytí.
7. Zpevněte dočasné adresáře. Tam, kde je to prakticky možné, připojte /tmp a /dev/shm s volbou noexec.
8. Poté ověřte, že server už nenavazuje spojení s relé GSocketu ani s níže uvedenými doménami.

Jak zjistit, zda jste ohroženi

Tyto kontroly spouštějte jako root. Nález sám o sobě není důkaz, ale měl by být prošetřen.

Soubory a cesty uvedené Microsoftem:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Běžící procesy:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

Skutečná jádrová vlákna nemají spustitelný soubor. Pokud proces se jménem v hranatých závorkách, například [kaluad], ukazuje na soubor, je podezřelý:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Perzistence:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Pozorně si prohlédněte systemd jednotky, jejichž názvy vypadají věrohodně, ale které jste nevytvořili. Zkontrolujte domovské adresáře účtů webových služeb, jako jsou www-data, apache a nobody, a také uživatelů cPanelu.

Známé hashe souborů (SHA-256) podle Microsoftu:

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Síť a logy: Prohledejte DNS, proxy a firewall logy na gsocket.io, cdn.gsocket.io a gsgg.b-cdn.net. Tyto domény slouží ke stahování nástroje. Také prohledejte historii shellu a logy webového serveru na příkazy, které pomocí curl stahují gsocket.io/y nebo gsocket.io/install.sh. Hledejte shelly spuštěné procesy webového serveru nebo PHP. Příkazem ss -tnp zjistěte, které procesy drží odchozí spojení, a prověřte ty, které nedokážete vysvětlit. Mějte na paměti, že útočníci mažou pomocné soubory a historii příkazů, takže chybějící stopy na jednom místě neprokazují, že je server čistý.

Zdroje

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/