هکرها برای دسترسی مداوم GSocket را روی سرورهای لینوکس نصب می کنند

چندین عامل تهدید از GSocket، یک ابزار دسترسی از راه دور منبع باز قانونی، برای حفظ دسترسی به سرورهای لینوکس، حتی پس از اصلاح آسیب‌پذیری‌های مورد سوء استفاده برای دسترسی اولیه، سوء استفاده می‌کنند.

از ماه مارس، شناسایی فعالیت های مخرب GSocket، به ویژه در حملاتی که برنامه های کاربردی وب و محیط های میزبانی را هدف قرار می دهند، افزایش یافته است.

GSocket به مهاجمان اجازه می دهد تا با رهگیری اتصالات شبکه و جایگزینی ارتباط لایه IP معمولی برنامه با لایه انتقال خود، که ترافیک را از طریق شبکه جهانی سوکت رله هدایت می کند، به سیستم های پشت فایروال یا NAT دسترسی پیدا کنند.

از آنجایی که هر دو نقطه پایانی اتصالات خروجی را به رله آغاز می کنند، که با آنها مطابقت دارد و یک جلسه رمزگذاری شده سرتاسر را کارگزار می کند، مهاجم می تواند بدون نیاز به آدرس IP یا نام میزبان سرور در معرض خطر، دوباره متصل شود.

این کار را برای مدافعان دشوارتر می کند تا حملات را با استفاده از لیست های کنترل دسترسی مبتنی بر IP یا دامنه مختل کنند.

طبق گفته مایکروسافت دیفندر برای تله‌متری Endpoint، تشخیص‌های مرتبط با GSocket بین مارس و آگوست 356.2 درصد افزایش یافته است.

مایکروسافت توضیح می‌دهد که هم سرور آسیب‌دیده و هم مهاجم به صورت خروجی به یکدیگر متصل می‌شوند، از این رو سرور نیازی به کاشت شنونده ورودی ندارد و این حمله را مخفی‌تر می‌کند.

مایکروسافت توضیح می‌دهد: «میزبان آسیب‌دیده و اپراتور هر دو به رله خروجی متصل می‌شوند، که این دو جلسه را پل می‌کند.»

"میزبان نیازی به شنونده ورودی یا آدرس IP عمومی ندارد و ترجمه آدرس شبکه مانع از اتصال نمی شود."

همین مدل همچنین نیاز مهاجمان به استفاده از سرور اختصاصی فرمان و کنترل (C2) را از بین می برد.

مایکروسافت می‌گوید قوانین فایروال ورودی ترافیک مخرب را شناسایی نمی‌کنند، اگرچه فیلتر خروجی و نظارت بر خروجی می‌توانند.

از حوادث شناسایی شده، 87.1 درصد مربوط به برنامه های کاربردی وب و میزبانی است. برنامه های وب پی اچ پی و میزبانی سی پنل 63.9% و آپاچی 24.3% را به خود اختصاص داده اند.

محققان مهاجمانی را مشاهده کردند که GSocket را به عنوان رشته‌های هسته پنهان می‌کردند و از cron job، سرویس‌های systemd و فایل‌های راه‌اندازی پوسته برای اهداف پایدار استفاده می‌کردند.

در برخی موارد، مهاجمان سعی کردند از نقص هسته لینوکس " Dirty Frag " (CVE-2026-43284) برای به دست آوردن امتیازات ریشه در هاست سوء استفاده کنند.

مایکروسافت می‌گوید بیشترین اهداف فعالیت GSocket در بخش آموزش و تحقیقات و پس از آن فناوری و ارتباطات، تولید و نهادهای دولتی است.

محققان توصیه می‌کنند که مدیران سیستم GSocket و فایل‌های مرتبط را از سرورهای تحت تأثیر احتمالی حذف کنند و بررسی کنند که اتصالات خروجی به شبکه رله آن متوقف شده است.

آنها همچنین توصیه می‌کنند که ترافیک خروجی را به مقصدهای از پیش تعیین‌شده محدود کنید و کارهای cron، سرویس‌های سیستمی و فایل‌های راه‌اندازی پوسته را برای اضافه‌های سرکش بررسی کنید.

به طور کلی، به روز نگه داشتن سیستم عامل و برنامه ها، از جمله وصله برای CVE-2026-43284، یک اقدام قوی در برابر این حملات و سایر حملات است.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

ایالات متحده صرافی رمزارز MEXC را به دلیل فرار از تحریم ها و پیوندهای جرایم سایبری ممنوع می کند

Veeam در مورد خرابی بوت نرم افزار در میزبان های AMD EPYC هشدار می دهد

نقص OpenSSH به مهاجمان اجازه می دهد تا وارد حساب های لینوکس غیرفعال شده با رمز عبور شوند

هکرها سرورهای لینوکس را با استفاده از وب سرور CWP تروجانیزه می کنند

CISA در مورد نقص لینوکس Fragnesia در حملات PHP2Shell هشدار می دهد