Backdoor GSocket na webových serveroch Linux: skontrolujte hostiteľov s PHP, cPanel a Apache na kompromitáciu

Čo sa stalo

11. novembra 2026 zverejnil Microsoft výskum o viacerých samostatných skupinách útočníkov, ktoré inštalujú GSocket na napadnuté servery Linux. BleepingComputer o tom 12. novembra 2026 informoval. GSocket je legitímny open-source nástroj na vzdialený prístup. Keď beží na serveri, server aj útočník nadväzujú odchádzajúce spojenia na verejnú prenosovú službu Global Socket Relay Network. Relay potom obe strany spojí do šifrovanej relácie. Server nepotrebuje otvorený port ani verejnú IP adresu. Útočníci neprevádzkujú vlastnú infraštruktúru, takže neexistuje žiadna IP adresa ani doména útočníka, ktorú by bolo možné blokovať.

Toto nie je zraniteľnosť v GSocket. Útočníci najprv preniknú do webovej aplikácie dostupnej z internetu a až potom nainštalujú GSocket, aby si udržali prístup. Keďže GSocket beží oddelene od aplikácie, záplatovanie aplikácie ho neodstráni. Microsoft uvádza, že detekcie súvisiace s GSocket vo svojej telemetrii vzrástli medzi marcom a augustom 2026 o 356,2 %.

Microsoft opisuje útoky takto:

• Útočníci zneužijú webovú aplikáciu a pomocou curl stiahnu a spustia inštalačný skript.
• Skript umiestni klienta GSocket do zapisovateľných alebo pamäťových ciest, ako je /dev/shm.
• Proces je zamaskovaný pod názvami, ktoré pripomínajú vlákna jadra, napríklad [kaluad], alebo pod systémovo znejúcimi názvami ako systemd-remount-d a /usr/bin/defunct.
• Perzistencia sa nastaví cez cron úlohy, služby systemd, štartovacie súbory shellu, watchdogy a ďalšie kópie. Pomocné súbory sa potom zmažu a časové značky súborov sa spätne upravia.
• V niekoľkých prípadoch sa útočníci pokúsili získať root cez chybu jadra Linux CVE-2026-43284, známu ako „Dirty Frag“.

Koho sa to týka

Servery Linux, na ktorých beží webová aplikácia dostupná z internetu, ktorá bola v nejakom čase napadnutá. Podľa údajov Microsoftu sa 87,1 % incidentov týkalo webových aplikácií a hostingu. V tejto skupine tvorili webové aplikácie PHP a hosting cPanel 63,9 % a Apache 24,3 %. Microsoft tiež eviduje upozornenia na shelly spustené z webových aplikácií v Jave a Node.js. Osobitne sa oplatí skontrolovať servery, na ktorých sa nedávno zistila a opravila chyba webovej aplikácie, pretože útočníci sa mohli dostať dovnútra ešte pred záplatou.

Servery, na ktorých webové aplikácie nikdy napadnuté neboli, nie sú ohrozené. GSocket nainštalovaný zámerne vaším vlastným tímom sám osebe nie je znakom kompromitácie.

Čo urobiť teraz

1. Skontrolujte každý webový server Linux dostupný z internetu podľa krokov v ďalšej časti. Začnite servermi, na ktorých sa v posledných mesiacoch opravila chyba webovej aplikácie, CMS, pluginu alebo hostingového panelu.
2. Ak nájdete GSocket, považujte server za kompromitovaný. Zastavte proces. Potom odstráňte binárny súbor, všetky jeho kópie a všetky položky automatického spúšťania: cron, jednotky systemd, štartovacie súbory shellu a skripty watchdog. Microsoft upozorňuje, že perzistencia býva vrstvená, takže samotné ukončenie procesu prístup neodstráni. Ak útočníci mohli získať root, napríklad cez CVE-2026-43284, najbezpečnejšie je preinštalovať server z čistého obrazu alebo zo zálohy vytvorenej pred kompromitáciou.
3. Zmeňte prihlasovacie údaje na napadnutom serveri: heslá k databázam, tajomstvá aplikácií, API kľúče a SSH kľúče. Skontrolujte tiež authorized_keys na neznáme položky.
4. Nájdite a uzavrite vstupnú cestu. Aktualizujte webové aplikácie, CMS platformy, pluginy a aplikačné servery. Odstráňte komponenty, ktoré nepoužívate, a obmedzte cesty na nahrávanie súborov a administráciu.
5. Opravte jadro proti CVE-2026-43284 („Dirty Frag“) pomocou aktualizácie jadra od vašej distribúcie a reštartujte do nového jadra.
6. Obmedzte odchádzajúcu komunikáciu. Kde je to možné, blokujte odchádzajúce spojenia predvolene a povoľte len ciele, ktoré server potrebuje. Komunikácia GSocket je iba odchádzajúca, takže pravidlá prichádzajúcej komunikácie vo firewalle ju nezachytia.
7. Spevnite dočasné adresáre. Ak je to prakticky možné, pripojte /tmp a /dev/shm s voľbou noexec.
8. Následne overte, že server sa už nepripája k relay službe GSocket ani k doménam uvedeným nižšie.

Ako zistiť, či ste ohrození

Tieto kontroly spúšťajte ako root. Zhoda sama o sebe nie je dôkazom, ale treba ju preveriť.

Súbory a cesty uvedené spoločnosťou Microsoft:

ls -la /dev/shm/.gs-* /tmp/.gsn_ora /tmp/systemd-remount-d /usr/bin/systemd-remount-d /usr/bin/defunct 2>/dev/null
find / -xdev \( -name 'gs-netcat*' -o -name 'defunct.service' -o -name 'defunct' -o -name 'systemd-remount-d' \) 2>/dev/null

Bežiace procesy:

ps -eo pid,ppid,user,args | grep -Ei 'gs-netcat|gsocket|defunct|remount-d' | grep -v grep

Skutočné vlákna jadra nemajú spustiteľný súbor. Ak proces s hranatými zátvorkami v názve, napríklad [kaluad], ukazuje na súbor, je podozrivý:

for p in /proc/[0-9]*; do n=$(cat $p/cmdline 2>/dev/null | tr '\0' ' '); case "$n" in \[*) e=$(readlink $p/exe 2>/dev/null); [ -n "$e" ] && echo "${p#/proc/} $n -> $e";; esac; done

Perzistencia:

for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done
ls -la /etc/cron.* /var/spool/cron* 2>/dev/null
systemctl list-unit-files --type=service | grep -Ei 'defunct|remount'
grep -sEl 'gs-netcat|gsocket|defunct|GS_' /etc/profile /etc/profile.d/* /etc/bash.bashrc /root/.bashrc /root/.profile /home/*/.bashrc /home/*/.profile

Dôkladne si preskúmajte jednotky systemd, ktorých názvy vyzerajú vierohodne, ale ste ich nevytvorili. Skontrolujte domovské adresáre účtov webových služieb ako www-data, apache a nobody a účty používateľov cPanel.

Známe hash súborov (SHA-256) od Microsoftu:

• d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa
• f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5
• 55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f
• 12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c

Sieť a logy: Prehľadajte logy DNS, proxy a firewallu na gsocket.io, cdn.gsocket.io a gsgg.b-cdn.net. Tieto domény sa používajú na stiahnutie nástroja. Prehľadajte tiež históriu shellu a logy webového servera na príkazy, ktoré pomocou curl sťahujú gsocket.io/y alebo gsocket.io/install.sh. Hľadajte shelly spustené procesmi webového servera alebo PHP. Pomocou ss -tnp zistite, ktoré procesy držia odchádzajúce spojenia, a preverte všetky, ktoré nedokážete vysvetliť. Majte na pamäti, že útočníci mažú pomocné súbory a históriu príkazov, takže chýbajúce stopy na jednom mieste ešte nedokazujú, že server je čistý.

Zdroje

• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.bleepingcomputer.com/news/security/hackers-plant-gsocket-on-linux-servers-for-persistent-access/