GSocket-takaovi Linux-verkkopalvelimilla: tarkista PHP-, cPanel- ja Apache-palvelimet mahdollisen murron varalta

Mitä tapahtui

11. marraskuuta 2026 Microsoft julkaisi tutkimuksen useista erillisistä hyökkääjäryhmistä, jotka asentavat GSocketin murtautuneille Linux-palvelimille. BleepingComputer uutisoi siitä 12. marraskuuta 2026. GSocket on laillinen, avoimen lähdekoodin etäyhteystyökalu. Kun se on käynnissä palvelimella, sekä palvelin että hyökkääjä muodostavat ulospäin menevän yhteyden julkiseen välityspalveluun, Global Socket Relay Networkiin. Välityspalvelu yhdistää kaksi yhteyttä salatuksi istunnoksi. Palvelin ei tarvitse avointa porttia eikä julkista IP-osoitetta. Hyökkääjillä ei ole omaa infrastruktuuria, joten hyökkääjän IP-osoitetta tai verkkotunnusta ei ole, jonka voisi estää.

Kyse ei ole GSocketin haavoittuvuudesta. Hyökkääjät murtautuvat ensin internetiin avoimeen verkkosovellukseen ja asentavat sitten GSocketin säilyttääkseen pääsynsä. Koska GSocket toimii erillään sovelluksesta, sovelluksen päivittäminen ei poista sitä. Microsoftin mukaan GSocketiin liittyvät havainnot sen telemetriassa kasvoivat 356,2 % maaliskuun ja elokuun 2026 välillä.

Microsoft kuvaa hyökkäykset seuraavasti:

• Hyökkääjät hyödyntävät verkkosovellusta ja käyttävät curl-komentoa asennuskomentosarjan lataamiseen ja suorittamiseen.
• Komentosarja sijoittaa GSocket-asiakasohjelman kirjoitettaviin tai muistiin perustuviin polkuihin, kuten /dev/shm.
• Prosessi naamioidaan nimiin, jotka näyttävät ytimen säikeiltä, esimerkiksi [kaluad], tai järjestelmänimiin, kuten systemd-remount-d ja /usr/bin/defunct.
• Pysyvyys luodaan cron-töiden, systemd-palveluiden, shell-käynnistystiedostojen, valvontaskriptien ja ylimääräisten kopioiden kautta. Väliaikaiset tiedostot poistetaan ja tiedostojen aikaleimat muutetaan.
• Joissakin tapauksissa hyökkääjät yrittivät saada root-oikeudet Linux-ytimen haavoittuvuudella CVE-2026-43284, joka tunnetaan nimellä "Dirty Frag".

Keitä asia koskee

Linux-palvelimet, joilla on internetiin avoimia verkkosovelluksia, jotka on murrettu jossain vaiheessa. Microsoftin tietojen mukaan 87,1 % tapauksista liittyi verkkosovelluksiin ja hostingiin. Tämän ryhmän sisällä PHP-verkkosovellukset ja cPanel-hosting muodostivat 63,9 % ja Apache 24,3 %. Microsoft listaa myös hälytyksiä Java- ja Node.js-verkkosovelluksista käynnistetyistä shelleistä. Palvelimet, joilla verkkosovelluksen haavoittuvuus on löydetty ja korjattu äskettäin, kannattaa tarkistaa erityisen huolellisesti, sillä hyökkääjät ovat saattaneet päästä sisään ennen korjausta.

Palvelimet, joiden verkkosovelluksia ei ole koskaan murrettu, eivät kuulu tähän. Oma tiimisi tarkoituksella asentama GSocket ei sinänsä ole merkki murrosta.

Mitä nyt kannattaa tehdä

1. Tarkista jokainen internetiin avoin Linux-verkkopalvelin alla olevien vaiheiden mukaan. Aloita palvelimista, joilla verkkosovelluksen, CMS:n, lisäosan tai hallintapaneelin haavoittuvuus on korjattu viime kuukausina.
2. Jos löydät GSocketin, käsittele palvelinta murrettuna. Pysäytä prosessi. Poista sitten binääri, kaikki kopiot ja kaikki käynnistysmerkinnät: cron, systemd-yksiköt, shell-käynnistystiedostot ja valvontaskriptit. Microsoft huomauttaa, että pysyvyys on usein kerrostettu, joten pelkkä prosessin tappaminen ei poista pääsyä. Jos hyökkääjät ovat saattaneet saada root-oikeudet esimerkiksi CVE-2026-43284:n kautta, turvallisin ratkaisu on asentaa palvelin uudelleen puhtaalta kuvalta tai murtumista edeltävästä varmuuskopiosta.
3. Vaihda tunnukset kaikilla murretuilla palvelimilla: tietokantasalasanat, sovelluksen salaisuudet, API-avaimet ja SSH-avaimet. Tarkista myös authorized_keys tuntemattomien merkintöjen varalta.
4. Selvitä ja sulje sisäänpääsyreitti. Päivitä verkkosovellukset, CMS-alustat, lisäosat ja sovelluspalvelimet. Poista käyttämättömät komponentit ja rajoita tiedostolatausten ja ylläpitopolkujen käyttöä.
5. Päivitä ydin korjaamaan CVE-2026-43284 ("Dirty Frag") jakelusi ydinpäivityksellä ja käynnistä kone uudelleen uuden ytimen kanssa.
6. Rajoita ulospäin menevää liikennettä. Missä mahdollista, estä ulospäin menevät yhteydet oletuksena ja salli vain palvelimen tarvitsemat kohteet. GSocket-liikenne on pelkästään ulospäin menevää, joten sisääntulevat palomuurisäännöt eivät sitä havaitse.
7. Vahvista väliaikaishakemistot. Missä se on käytännöllistä, liitä /tmp ja /dev/shm noexec-asetuksella.
8. Varmista jälkikäteen, ettei palvelin enää muodosta yhteyttä GSocket-välityspalveluun tai alla lueteltuihin verkkotunnuksiin.

Miten tarkistat, oletko kohteena

Suorita nämä tarkistukset root-käyttäjänä. Yksittäinen osuma ei vielä todista mitään, mutta se kannattaa selvittää.

Microsoftin nimeämät tiedostot ja polut:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Käynnissä olevat prosessit:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

Oikeat ytimen säikeet eivät ole suoritettavia tiedostoja. Jos prosessi, jonka nimi on hakasulkeissa kuten [kaluad], osoittaa tiedostoon, se on epäilyttävä:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Pysyvyys:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Tarkastele tarkasti systemd-yksiköitä, joiden nimet näyttävät uskottavilta mutta joita et itse luonut. Tarkista verkkopalvelutilien, kuten www-data, apache ja nobody, sekä cPanel-käyttäjien kotihakemistot.

Microsoftin antamat tunnetut tiedostotiivisteet (SHA-256):

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Verkko ja lokit: Etsi DNS-, välityspalvelin- ja palomuurilokeista verkkotunnuksia gsocket.io, cdn.gsocket.io ja gsgg.b-cdn.net. Niitä käytetään työkalun lataamiseen. Etsi myös shell-historiasta ja verkkopalvelimen lokeista curl-komennot, jotka hakevat gsocket.io/y tai gsocket.io/install.sh. Katso palvelun tai PHP-prosessien käynnistämät shellit. Käytä ss -tnp-komentoa selvittääksesi, mitkä prosessit ylläpitävät ulospäin menevät yhteydet, ja selvitä ne, joita et pysty selittämään. Muista, että hyökkääjät poistavat väliaikaistiedostot ja komentohistorian, joten yhdestä paikasta puuttuvat jäljet eivät todista palvelimen olevan puhdas.

Lähteet

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/