GSocket backdoor na Linux web poslužiteljima: provjerite PHP, cPanel i Apache hostove zbog kompromitacije

Što se dogodilo

Dana 11. studenoga 2026. Microsoft je objavio istraživanje o nekoliko odvojenih skupina napadača koje instaliraju GSocket na kompromitirane Linux poslužitelje. BleepingComputer je o tome izvijestio 12. studenoga 2026. GSocket je legitiman alat otvorenog koda za daljinski pristup. Kada se pokrene na poslužitelju, i poslužitelj i napadač uspostavljaju odlazne veze prema javnoj relejnoj usluzi, Global Socket Relay Network. Relej zatim spaja ta dva kraja u šifriranu sesiju. Poslužitelj ne treba otvoreni port ni javnu IP adresu. Napadači ne koriste vlastitu infrastrukturu, pa nema napadačke IP adrese ni domene koju biste mogli blokirati.

Ovo nije ranjivost u GSocketu. Napadači najprije provale u web aplikaciju izloženu internetu, a zatim instaliraju GSocket kako bi zadržali pristup. Budući da GSocket radi odvojeno od aplikacije, zakrpa aplikacije ga ne uklanja. Microsoft navodi da su detekcije povezane s GSocketom u njihovoj telemetriji porasle za 356,2% između ožujka i kolovoza 2026.

Microsoft opisuje napade ovako:

• Napadači iskorištavaju web aplikaciju i koriste curl za preuzimanje i pokretanje instalacijske skripte.
• Skripta smješta GSocket klijent na putanje u koje se može pisati ili koje se nalaze u memoriji, poput /dev/shm.
• Proces je maskiran pod nazivima koji podsjećaju na kernel dretve, na primjer [kaluad], ili pod sistemskim nazivima poput systemd-remount-d i /usr/bin/defunct.
• Trajnost se postavlja pomoću cron poslova, systemd servisa, datoteka za pokretanje ljuske, watchdog skripti i dodatnih kopija. Pomoćne datoteke zatim se brišu, a vremenske oznake datoteka se vraćaju unatrag.
• U nekoliko slučajeva napadači su pokušali dobiti root ovlasti putem ranjivosti Linux kernela CVE-2026-43284, poznate kao „Dirty Frag”.

Tko je pogođen

Linux poslužitelji koji pokreću web aplikacije izložene internetu i koji su u nekom trenutku bili kompromitirani. Prema Microsoftovim podacima, 87,1% incidenata odnosilo se na web aplikacije i hosting. Unutar te skupine, PHP web aplikacije i cPanel hosting činili su 63,9%, a Apache 24,3%. Microsoft navodi i upozorenja za ljuske pokrenute iz Java i Node.js web aplikacija. Poslužitelji na kojima je nedavno pronađena i zakrpljena ranjivost web aplikacije posebno su vrijedni provjere, jer su napadači mogli ući prije zakrpe.

Poslužitelji čije web aplikacije nikada nisu bile kompromitirane nisu pogođeni. GSocket koji je namjerno instalirao vaš tim sam po sebi nije znak kompromitacije.

Što odmah učiniti

1. Provjerite svaki Linux web poslužitelj izložen internetu koristeći korake iz sljedećeg odjeljka. Počnite s poslužiteljima na kojima je u posljednjih nekoliko mjeseci zakrpljena ranjivost web aplikacije, CMS-a, dodatka ili panela za hosting.
2. Ako pronađete GSocket, smatrajte poslužitelj kompromitiranim. Zaustavite proces. Zatim uklonite binarnu datoteku, sve kopije i sve unose za automatsko pokretanje: cron, systemd jedinice, datoteke za pokretanje ljuske i watchdog skripte. Microsoft napominje da je trajnost često slojevita, pa samo zaustavljanje procesa ne uklanja pristup. Ako su napadači mogli dobiti root ovlasti, primjerice putem CVE-2026-43284, najsigurnije je ponovno postaviti poslužitelj iz čiste slike ili sigurnosne kopije napravljene prije kompromitacije.
3. Promijenite vjerodajnice na pogođenom poslužitelju: lozinke baza podataka, tajne aplikacije, API ključeve i SSH ključeve. Provjerite i authorized_keys za nepoznate unose.
4. Pronađite i zatvorite ulaz. Ažurirajte web aplikacije, CMS platforme, dodatke i aplikacijske poslužitelje. Uklonite komponente koje ne koristite i ograničite putanje za učitavanje datoteka i administraciju.
5. Zakrpite kernel protiv CVE-2026-43284 („Dirty Frag”) ažuriranjem kernela vaše distribucije i ponovnim pokretanjem u novi kernel.
6. Ograničite odlazni promet. Gdje možete, blokirajte odlazne veze kao zadanu postavku i dopustite samo odredišta koja poslužitelj treba. GSocket promet je isključivo odlazni, pa pravila vatrozida za dolazni promet ga ne hvataju.
7. Ojačajte privremene direktorije. Tamo gdje je to praktično, montirajte /tmp i /dev/shm s opcijom noexec.
8. Naknadno provjerite da se poslužitelj više ne povezuje s GSocket relejem ni s domenama navedenima u nastavku.

Kako provjeriti jeste li pogođeni

Pokrenite ove provjere kao root. Pogodak sam po sebi nije dokaz, ali ga treba istražiti.

Datoteke i putanje koje navodi Microsoft:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Pokrenuti procesi:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

Pravi kernel procesi nemaju izvršnu datoteku. Ako proces s nazivom u uglatim zagradama, poput [kaluad], pokazuje na datoteku, to je sumnjivo:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Trajnost:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Pažljivo pogledajte systemd jedinice čiji nazivi djeluju vjerojatno, a koje niste vi kreirali. Provjerite početne direktorije računa web servisa poput www-data, apache i nobody te cPanel korisnika.

Poznati hashevi datoteka (SHA-256) prema Microsoftu:

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Mreža i zapisi: Pretražite DNS, proxy i zapise vatrozida za gsocket.io, cdn.gsocket.io i gsgg.b-cdn.net. Ove domene služe za preuzimanje alata. Također pretražite povijest ljuske i zapise web poslužitelja za naredbe koje dohvaćaju gsocket.io/y ili gsocket.io/install.sh pomoću curl. Tražite ljuske pokrenute iz procesa web poslužitelja ili PHP-a. Koristite ss -tnp da vidite koji procesi imaju odlazne veze i istražite one koje ne možete objasniti. Imajte na umu da napadači brišu pomoćne datoteke i povijest naredbi, pa odsutnost tragova na jednom mjestu ne dokazuje da je poslužitelj čist.

Izvori

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/