Microsoft varuje pred zneužitím GSocketu na linuxových serveroch

Microsoft upozornil na zneužitie GSocketu, open-source nástroja, ktorý útočníci podľa firmy nasadzujú na už kompromitované linuxové servery. Aktivita sa týka najmä systémov, do ktorých sa dostali cez verejne dostupné webové aplikácie. GSocket im následne môže poskytovať perzistentný, šifrovaný kanál na vzdialený prístup.

Podstatou nástroja je odchádzajúce spojenie cez zdieľanú Global Socket Relay Network. Útočník tak podľa Microsoftu nemusí prevádzkovať vlastnú riadiacu infraštruktúru – teda samostatnú C2 doménu alebo IP adresu. To môže komplikovať vyhľadávanie komunikácie založené len na blokovaní známych útočníckych serverov.

Zneužitie GSocketu po prieniku

Microsoft uviedol, že GSocket videl vo viacerých incidentoch až po prvotnej kompromitácii servera. Nešpecifikoval počet obetí, krajiny ani konkrétne organizácie a aktivitu nepripísal žiadnej známej skupine.

V analyzovaných prípadoch útočníci používali viacero postupov na utajenie a udržanie prístupu. Patrilo medzi ne maskovanie procesov a ukladanie súborov do dočasných umiestnení, napríklad do adresára /dev/shm. Pre perzistenciu využívali cron, služby systemd, shellové profily, watchdog mechanizmy aj redundantné kópie súborov.

Microsoft zároveň upozorňuje, že nie všetky časti tohto reťazca boli potvrdené pri každom skúmanom prieniku. To sa týka aj pretrvania po reštarte, vytvorenia relay relácie či prípadnej eskalácie oprávnení.

Detekcie rástli, nejde však o počet potvrdených útokov

V telemetrii Microsoft Defender for Endpoint stúpol medzi marcom a augustom 2026 počet zariadení s detekciami súvisiacimi s GSocketom o 356,2 % oproti marcovej základni. Microsoft tento údaj prezentuje ako trend v detekciách, nie ako počet potvrdených kompromitácií.

Samotný rast telemetrie preto neukazuje, koľko serverov bolo úspešne napadnutých, ani nepotvrdzuje zacielenie na konkrétne odvetvia. Môže však byť dôvodom, aby správcovia internetovo dostupných linuxových webových serverov preverili, či po riešení bezpečnostného incidentu nezostal v systéme ďalší vzdialený prístup.

Čo majú správcovia preveriť

Microsoft zverejnil indikátory kompromitácie, hashy a hunting dotazy určené na vyhľadávanie opísanej aktivity. Pri náleze odporúča odstrániť klienta GSocketu aj súvisiace mechanizmy perzistencie a preveriť odchádzajúce sieťové spojenia.

• Skontrolovať systémy kompromitované cez verejne dostupné webové aplikácie aj po oprave pôvodnej chyby.
• Hľadať podozrivé procesy, súbory v /dev/shm a neobvyklé položky v crone, systemd či shellových profiloch.
• Preveriť odchádzajúcu komunikáciu, pretože GSocket používa zdieľanú relay infraštruktúru.
• Využiť Microsoftom publikované indikátory, hashy a hunting dotazy vo vlastných nástrojoch na detekciu.

Firma výslovne upozorňuje, že samotné opravenie pôvodne zneužitej aplikácie nemusí stačiť. Ak útočník po prieniku nasadil nástroj na vzdialený prístup a perzistenciu, tento prístup môže zostať funkčný aj po záplatovaní vstupného bodu.

Pokusy o eskaláciu cez CVE-2026-43284

Microsoft v niektorých prípadoch zaznamenal pokusy o lokálnu eskaláciu práv cez CVE-2026-43284. Red Hat chybu opisuje ako lokálnu zraniteľnosť Linux kernelu, ktorá za splnenia podmienok umožňuje eskaláciu oprávnení na root.

Microsoft však neuviedol dôkaz, že tieto pokusy v pozorovaných incidentoch uspeli. Z dostupných informácií preto nevyplýva, že útočníci v konkrétnych prípadoch získali najvyššie oprávnenia v systéme.

Ďalší vývoj môže priniesť nezávislé zistenia o rozsahu aktivít, zasiahnutých sektoroch alebo identite útočníkov. Dôležité bude aj to, či ďalší dodávatelia zverejnia nové detekčné pravidlá alebo sa objavia potvrdené prípady úspešného zneužitia CVE-2026-43284 v spojení s touto aktivitou.

Overené a aktualizované: 12. 11. 2026 06:22