Backdoor GSocket σε Linux web servers: έλεγξε PHP, cPanel και Apache hosts για compromise

Τι συνέβη

Στις 11 Νοεμβρίου 2026 η Microsoft δημοσίευσε έρευνα για αρκετές ξεχωριστές ομάδες επιτιθέμενων που εγκαθιστούν GSocket σε compromised Linux servers. Το BleepingComputer το κάλυψε στις 12 Νοεμβρίου 2026. Το GSocket είναι νόμιμο open-source εργαλείο απομακρυσμένης πρόσβασης. Μόλις τρέξει σε ένα server, τόσο ο server όσο και ο επιτιθέμενος κάνουν εξερχόμενες συνδέσεις προς μια δημόσια υπηρεσία relay, το Global Socket Relay Network. Το relay ενώνει τα δύο άκρα σε μια κρυπτογραφημένη συνεδρία. Ο server δεν χρειάζεται ανοιχτή θύρα ούτε δημόσια IP διεύθυνση. Οι επιτιθέμενοι δεν διατηρούν δική τους υποδομή, οπότε δεν υπάρχει IP ή domain επιτιθέμενου προς αποκλεισμό.

Αυτό δεν είναι ευπάθεια του GSocket. Οι επιτιθέμενοι πρώτα εισβάλλουν σε μια internet-facing web application και μετά εγκαθιστούν το GSocket για να κρατήσουν την πρόσβαση. Επειδή το GSocket τρέχει ξεχωριστά από την εφαρμογή, η διόρθωση της εφαρμογής δεν το αφαιρεί. Η Microsoft αναφέρει ότι οι ανιχνεύσεις σχετικές με GSocket στην τηλεμετρία της αυξήθηκαν κατά 356,2% μεταξύ Μαρτίου και Αυγούστου 2026.

Η Microsoft περιγράφει τις επιθέσεις ως εξής:

• Οι επιτιθέμενοι εκμεταλλεύονται μια web application και χρησιμοποιούν το curl για να κατεβάσουν και να τρέξουν ένα install script.
• Το script τοποθετεί τον GSocket client σε εγγράψιμες ή memory-backed διαδρομές όπως το /dev/shm.
• Η διεργασία μεταμφιέζεται με ονόματα που μοιάζουν με kernel threads, π.χ. [kaluad], ή με ονόματα συστήματος όπως systemd-remount-d και /usr/bin/defunct.
• Η επιμονή ρυθμίζεται μέσω cron jobs, systemd services, αρχείων εκκίνησης shell, watchdogs και επιπλέον αντιγράφων. Τα προσωρινά αρχεία διαγράφονται και οι χρονοσημάνσεις των αρχείων μετατίθενται πίσω.
• Σε μερικές περιπτώσεις οι επιτιθέμενοι προσπάθησαν να αποκτήσουν root μέσω της ευπάθειας του Linux kernel CVE-2026-43284, γνωστής ως "Dirty Frag".

Ποιος επηρεάζεται

Linux servers που τρέχουν internet-facing web applications που κάποια στιγμή compromised. Στα δεδομένα της Microsoft, το 87,1% των περιστατικών αφορούσε web applications και hosting. Μέσα σε αυτή την ομάδα, οι PHP web applications και το cPanel hosting αντιστοιχούσαν στο 63,9% και το Apache στο 24,3%. Η Microsoft αναφέρει επίσης ειδοποιήσεις για shells που ξεκίνησαν από Java και Node.js web applications. Servers όπου βρέθηκε και διορθώθηκε πρόσφατα ευπάθεια web application αξίζει ιδιαίτερα να ελεγχθούν, γιατί οι επιτιθέμενοι μπορεί να μπήκαν πριν από τη διόρθωση.

Servers των οποίων οι web applications δεν compromised ποτέ δεν επηρεάζονται. Το GSocket που εγκαταστάθηκε εσκεμμένα από την δική σου ομάδα δεν αποτελεί από μόνο του ένδειξη compromise.

Τι να κάνεις τώρα

1. Έλεγξε κάθε internet-facing Linux web server με τα βήματα της επόμενης ενότητας. Ξεκίνα από servers όπου διορθώθηκε τους τελευταίους μήνες ευπάθεια σε web application, CMS, plugin ή hosting panel.
2. Αν βρεις GSocket, θεώρησε τον server compromised. Σταμάτησε τη διεργασία. Έπειτα αφαίρεσε το binary, κάθε αντίγραφο και κάθε καταχώριση αυτόματης εκκίνησης: cron, systemd units, αρχεία εκκίνησης shell και watchdog scripts. Η Microsoft σημειώνει ότι η επιμονή είναι συχνά πολυεπίπεδη, οπότε το να σκοτώσεις μόνο τη διεργασία δεν αφαιρεί την πρόσβαση. Αν οι επιτιθέμενοι μπορεί να απέκτησαν root, για παράδειγμα μέσω του CVE-2026-43284, η ασφαλέστερη επιλογή είναι να ξαναχτίσεις τον server από καθαρή εικόνα ή από backup που έγινε πριν από το compromise.
3. Άλλαξε τα credentials σε έναν επηρεασμένο server: passwords βάσεων δεδομένων, application secrets, API keys και SSH keys. Έλεγξε επίσης το authorized_keys για άγνωστες καταχωρίσεις.
4. Βρες και κλείσε τον τρόπο εισόδου. Ενημέρωσε web applications, CMS platforms, plugins και application servers. Αφαίρεσε components που δεν χρησιμοποιείς και περιόρισε τις διαδρομές file upload και admin.
5. Διόρθωσε τον kernel έναντι του CVE-2026-43284 ("Dirty Frag") με την ενημέρωση kernel της διανομής σου και κάνε reboot στο νέο kernel.
6. Περιόρισε την εξερχόμενη κίνηση. Όπου μπορείς, μπλόκαρε τις εξερχόμενες συνδέσεις by default και επίτρεψε μόνο τους προορισμούς που χρειάζεται ο server. Η κίνηση του GSocket είναι μόνο εξερχόμενη, οπότε οι κανόνες εισερχόμενης κίνησης του firewall δεν την πιάνουν.
7. Σκλήρυνε τους προσωρινούς καταλόγους. Όπου είναι πρακτικό, mount το /tmp και το /dev/shm με noexec.
8. Επαλήθευσε στη συνέχεια ότι ο server δεν συνδέεται πια στο GSocket relay ή στα domains που αναφέρονται παρακάτω.

Πώς να ελέγξεις αν είσαι επηρεασμένος

Τρέξε αυτούς τους ελέγχους ως root. Ένα ευρήμα από μόνο του δεν είναι απόδειξη, αλλά πρέπει να διερευνηθεί.

Αρχεία και διαδρομές που αναφέρει η Microsoft:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Εκτελούμενες διεργασίες:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

Τα πραγματικά kernel threads δεν έχουν εκτελέσιμο αρχείο. Αν μια διεργασία με αγκύλες στο όνομα, όπως [kaluad], δείχνει σε αρχείο, είναι ύποπτη:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Επιμονή:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Κοίταξε προσεκτικά τα systemd units των οποίων τα ονόματα μοιάζουν εύλογα αλλά δεν τα δημιούργησες εσύ. Έλεγξε τους home directories των λογαριασμών web services όπως www-data, apache και nobody, και των χρηστών cPanel.

Γνωστά file hashes (SHA-256) από τη Microsoft:

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Δίκτυο και logs: Αναζήτησε στα DNS, proxy και firewall logs τα gsocket.io, cdn.gsocket.io και gsgg.b-cdn.net. Αυτά τα domains χρησιμοποιούνται για το κατέβασμα του εργαλείου. Αναζήτησε επίσης στο shell history και στα logs του web server εντολές που κατεβάζουν με curl το gsocket.io/y ή το gsocket.io/install.sh. Κοίταξε για shells που ξεκίνησαν από τη διεργασία του web server ή της PHP. Χρησιμοποίησε το ss -tnp για να δεις ποιες διεργασίες έχουν εξερχόμενες συνδέσεις, και ψάξε όσες δεν μπορείς να εξηγήσεις. Έχε υπόψη ότι οι επιτιθέμενοι διαγράφουν τα προσωρινά αρχεία και το ιστορικό εντολών, οπότε η απουσία ιχνών σε ένα σημείο δεν αποδεικνύει ότι ο server είναι καθαρός.

Πηγές

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/