Microsoft: Saldırganlar Linux sunuculara GSocket yerleştiriyor, açık kapatılsa da erişim sürüyor
Microsoft, açık kaynak remote access aracı GSocket'in kötüye kullanımının Mart–Ağustos arasında yüzde 356,2 arttığını bildirdi. Araç, relay ağı üzerinden çalıştığı için gelen trafik kuralına takılmıyor; hedefte PHP uygulamaları ve cPanel barındırma öne çıkıyor.
Microsoft, birden fazla threat actor'ın meşru bir açık kaynak remote access aracı olan GSocket'i Linux sunucularda kalıcı erişim için kullandığını açıkladı. Şirketin 11 Kasım tarihli analizine göre amaç, ilk erişimde kullanılan açık patch'lense bile sunucuya geri dönebilmek.
Microsoft Defender for Endpoint telemetrisine göre GSocket'le ilgili tespitler Mart–Ağustos arasında yüzde 356,2 arttı. Olayların yüzde 87,1'i web uygulamaları ve barındırma ortamlarında görüldü; PHP web uygulamaları ve cPanel barındırma yüzde 63,9, Apache yüzde 24,3 pay aldı. En çok hedeflenen sektör eğitim ve araştırma; ardından teknoloji ve iletişim, üretim ve kamu geliyor.
GSocket neden zor yakalanıyor?
GSocket, iki ucu da dışarıya doğru bağlantı açarak Global Socket Relay Network adlı ağa bağlar; relay iki ucu eşleştirip uçtan uca şifreli bir oturum kurar. Bu yüzden ele geçirilmiş sunucunun gelen bağlantı dinlemesi, public IP adresi ya da ayrı bir C2 sunucusu gerekmez; NAT da bağlantıyı engellemez. Saldırgan sunucunun IP adresini veya host adını bilmeden yeniden bağlanabildiği için IP ya da domain tabanlı engellemeler zorlaşıyor. Microsoft'a göre gelen trafik kuralları bu trafiği yakalamıyor; egress filtreleme ve giden bağlantı izlemesi yakalayabiliyor.
Kalıcılık nasıl sağlanıyor?
Raporlara göre saldırganlar GSocket'i kernel thread gibi göstererek gizledi; kalıcılık için cron job, systemd servisi ve shell başlangıç dosyalarını kullandı. Bazı vakalarda root yetkisi için Linux çekirdeğindeki "Dirty Frag" açığının (CVE-2026-43284) istismarı denendi.
Beni etkiliyor mu?
Barındırma veya PHP/cPanel çalıştıran Linux sunucularda şu salt okunur kontroller fikir verir:
ls -la /etc/cron.d /etc/cron.daily /var/spool/cron
ls -la /etc/systemd/system
grep -n "gs-netcat\|gsocket" ~/.bashrc ~/.profile /etc/profileSüreç listesinde köşeli parantez içinde kernel thread adı taşıyan ama kullanıcı alanından başlatılmış (ebeveyni 2 numaralı süreç olmayan) süreçler ve beklenmeyen hedeflere giden kalıcı giden bağlantılar dikkatle incelenmeli; bunun için EDR ya da sunucu izleme aracınızın süreç ve bağlantı görünümünü kullanın.
Ne yapılmalı?
- Etkilenmiş olabilecek sunucularda GSocket'i ve ilgili dosyaları kaldırın; ardından relay ağına giden bağlantıların durduğunu doğrulayın.
- Sunuculardan dışarıya giden trafiği önceden belirlenmiş hedeflerle sınırlayın; egress logunu izlemeye alın.
- Cron job'ları, systemd servislerini ve shell başlangıç dosyalarını yetkisiz eklemelere karşı denetleyin.
- İşletim sistemini ve web uygulamalarını güncel tutun; çekirdekte CVE-2026-43284 düzeltmesini dağıtımınızın bülteninden kontrol edin.
- İlk erişim noktası kapatılmadan yapılan temizlik yeterli değildir; değişiklikleri change management kaydıyla planlayın.
