GSocket hátsó ajtó Linux webszervereken: PHP-, cPanel- és Apache-kiszolgálók ellenőrzése kompromittálódás szempontjából

Mi történt

2026. november 11-én a Microsoft kutatást tett közzé több, egymástól független támadói csoportról, amelyek GSocketet telepítenek feltört Linux-szervereken. A BleepingComputer 2026. november 12-én számolt be erről. A GSocket törvényes, nyílt forráskódú távoli hozzáférési eszköz. Miután a szerveren fut, mind a szerver, mind a támadó kimenő kapcsolatot épít egy nyilvános közvetítő szolgáltatáshoz, a Global Socket Relay Networkhöz. A közvetítő a két oldalt titkosított munkamenetbe kapcsolja össze. A szervernek nincs szüksége nyitott portra és nyilvános IP-címre. A támadók nem üzemeltetnek saját infrastruktúrát, ezért nincs olyan támadói IP-cím vagy domain, amelyet blokkolni lehetne.

Ez nem a GSocket sebezhetősége. A támadók először egy internetről elérhető webalkalmazásba törnek be, majd a GSocketet telepítik, hogy megtartsák a hozzáférésüket. Mivel a GSocket az alkalmazástól függetlenül fut, az alkalmazás frissítése nem távolítja el. A Microsoft szerint a GSocketekhez kapcsolódó észlelések száma telemetriájában 2026 márciusa és augusztusa között 356,2%-kal nőtt.

A Microsoft a támadásokat a következőképpen írja le:

• A támadók kihasználnak egy webalkalmazást, majd curl segítségével letöltenek és futtatnak egy telepítő szkriptet.
• A szkript a GSocket klienst írható vagy memórián alapuló útvonalakra helyezi, például a /dev/shm könyvtárba.
• A folyamatot kernelszálaknak tűnő nevek mögé rejtik, például [kaluad], vagy rendszerszerű nevek alá, mint a systemd-remount-d és a /usr/bin/defunct.
• A perzisztenciát cron-feladatokkal, systemd szolgáltatásokkal, shell indítófájlokkal, watchdog-szkriptekkel és extra példányokkal alakítják ki. Az ideiglenes fájlokat ezután törlik, a fájlok időbélyegeit pedig visszadátumozzák.
• Néhány esetben a támadók a CVE-2026-43284 azonosítójú Linux-kernelhibával próbáltak root jogosultságot szerezni, amelyet „Dirty Frag” néven ismernek.

Kit érint

Azok a Linux-szerverek, amelyeken internetről elérhető webalkalmazások futnak, és amelyek valamikor kompromittálódtak. A Microsoft adatai szerint az incidensek 87,1%-a webalkalmazásokat és tárhelyszolgáltatást érintett. Ezen belül a PHP-webalkalmazások és a cPanel-tárhely 63,9%-ot, az Apache 24,3%-ot tett ki. A Microsoft emellett riasztásokat említ Java- és Node.js-webalkalmazásokból indított shellekről is. Különösen érdemes ellenőrizni azokat a szervereket, ahol nemrég találtak és javítottak webalkalmazás-hibát, mert a támadók a javítás előtt juthattak be.

Azok a szerverek, ahol a webalkalmazásokat soha nem törték fel, nem érintettek. A saját csapata által szándékosan telepített GSocket önmagában nem jelent kompromittálódást.

Mit tegyen most

1. Ellenőrizze az összes internetről elérhető Linux-webszervert a következő részben leírt lépésekkel. Kezdje azokkal a szerverekkel, ahol az elmúlt hónapokban webalkalmazás-, CMS-, bővítmény- vagy tárhelykezelő-hibát javítottak.
2. Ha GSocketet talál, kezelje a szervert kompromittáltként. Állítsa le a folyamatot. Ezután távolítsa el a binárist, minden példányát és minden automatikus indítási bejegyzést: a cron-feladatokat, a systemd-egységeket, a shell indítófájlokat és a watchdog-szkripteket. A Microsoft megjegyzi, hogy a perzisztencia gyakran többrétegű, ezért a folyamat leállítása önmagában nem szünteti meg a hozzáférést. Ha a támadók root jogosultságot szerezhettek, például a CVE-2026-43284 révén, a legbiztonságosabb megoldás a szerver újratelepítése tiszta rendszerképről vagy a kompromittálódás előtt készült biztonsági mentésből.
3. Cserélje le a jelszavakat az érintett szerveren: adatbázis-jelszavak, alkalmazási titkok, API-kulcsok és SSH-kulcsok. Ellenőrizze továbbá az authorized_keys fájlt ismeretlen bejegyzésekért.
4. Keresse meg és zárja le a behatolási útvonalat. Frissítse a webalkalmazásokat, CMS-platformokat, bővítményeket és alkalmazásszervereket. Távolítsa el a nem használt komponenseket, és korlátozza a fájlfeltöltési és adminisztrációs útvonalakat.
5. Javítsa a kernelt a CVE-2026-43284 („Dirty Frag”) ellen a disztribúciója kernelfrissítésével, majd indítsa újra az új kernellel.
6. Korlátozza a kimenő forgalmat. Ahol lehetséges, alapértelmezés szerint blokkolja a kimenő kapcsolatokat, és csak a szerver számára szükséges célokat engedélyezze. A GSocket-forgalom kizárólag kimenő, ezért a bejövő tűzfalszabályok nem fogják meg.
7. Erősítse meg az ideiglenes könyvtárakat. Ahol ez gyakorlatilag megvalósítható, csatolja a /tmp és a /dev/shm könyvtárat noexec opcióval.
8. Utólag ellenőrizze, hogy a szerver már nem kapcsolódik a GSocket-közvetítőhöz vagy az alább felsorolt domainekhez.

Hogyan ellenőrizze, hogy érintett-e

Futtassa ezeket az ellenőrzéseket root felhasználóként. Egy találat önmagában nem bizonyíték, de vizsgálni kell.

A Microsoft által megnevezett fájlok és útvonalak:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Futó folyamatok:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

A valódi kernelszálaknak nincs végrehajtható fájljuk. Ha egy szögletes zárójelben álló nevű folyamat, például [kaluad], fájlra mutat, az gyanús:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Perzisztencia:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Figyelmesen vizsgálja meg azokat a systemd-egységeket, amelyek nevei hihetőnek tűnnek, de Ön nem hozta őket létre. Ellenőrizze a webszolgáltatási fiókok, mint a www-data, apache és nobody, valamint a cPanel-felhasználók home könyvtárait.

A Microsoft által közölt ismert fájl-hash-ek (SHA-256):

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Hálózat és naplók: Keresse a DNS-, proxy- és tűzfalnaplókban a gsocket.io, cdn.gsocket.io és gsgg.b-cdn.net domaineket. Ezekről töltik le az eszközt. Keresse továbbá a shell-előzményekben és a webszerver-naplókban azokat a curl parancsokat, amelyek a gsocket.io/y vagy a gsocket.io/install.sh címet kérik le. Figyelje a webszerver vagy PHP-folyamatok által indított shelleket. A ss -tnp paranccsal ellenőrizze, mely folyamatok tartanak fenn kimenő kapcsolatot, és vizsgálja meg azokat, amelyeket nem tud azonosítani. Ne feledje, hogy a támadók törlik az ideiglenes fájlokat és a parancstörténetet, ezért az egy helyen hiányzó nyomok nem bizonyítják, hogy a szerver tiszta.

Források

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/