[ Início ]

Diferentes atores de ameaça estão utilizando o GSocket, uma ferramenta legítima e de código aberto, para manter acesso remoto a servidores Linux comprometidos. A atividade se concentra principalmente em aplicações web e ambientes de hospedagem, permitindo que os operadores retornem ao sistema mesmo após a correção da vulnerabilidade explorada no acesso inicial.

Segundo dados de telemetria do Microsoft Defender for Endpoint, apresentados pelo BleepingComputer hoje (12 de novembro de 2026), as detecções relacionadas ao GSocket aumentaram 356,2% entre março e agosto. Diferentemente de uma campanha associada a uma única vulnerabilidade, os casos descritos envolvem diferentes atores que incorporaram a ferramenta às suas operações de pós-exploração.

O servidor comprometido não precisa manter uma porta aberta para receber conexões do atacante. Os dois lados iniciam conexões de saída para uma rede de retransmissão, que intermedeia a sessão. Isso permite manter o acesso em ambientes protegidos por NAT e dificulta a contenção baseada apenas em regras de entrada do firewall

Como funciona o acesso remoto

O GSocket utiliza a Global Socket Relay Network para conectar os participantes de uma sessão. Em vez de depender de uma conexão direta entre o operador e o endereço IP do servidor comprometido, a ferramenta encaminha a comunicação por essa infraestrutura intermediária, com criptografia de ponta a ponta.

Nos ataques descritos, o funcionamento pode ser resumido em três etapas:

• Após comprometer o servidor, o atacante implanta o GSocket.

• O servidor comprometido e o operador estabelecem conexões de saída para a rede de retransmissão.

• A infraestrutura associa as conexões e permite a comunicação entre as duas pontas.

Esse modelo elimina a necessidade de um listener de entrada no servidor e dispensa uma infraestrutura dedicada de comando e controle mantida pelo próprio atacante. O operador também não precisa conhecer o endereço IP ou o hostname do sistema comprometido para se reconectar.

Entretanto, isso não torna a atividade invisível. A Microsoft destaca que o monitoramento das conexões de saída e a aplicação de políticas de filtragem de tráfego de saída continuam sendo medidas relevantes para identificar e interromper a comunicação.

Persistência e ocultação

A implantação da ferramenta não encerra a cadeia de ataque. Os pesquisadores observaram o uso de tarefas agendadas no cron, serviços do systemd e arquivos de inicialização do shell para manter o acesso. Também foram identificadas tentativas de disfarçar a execução do GSocket como threads do kernel, aproximando sua aparência da de componentes legítimos do Linux.

Ambientes alvo destes ataques

De acordo com a telemetria apresentada, 87,1% dos incidentes detectados estavam relacionados a aplicações web e ambientes de hospedagem. Aplicações PHP, hospedagens com cPanel e servidores Apache aparecem entre os ambientes associados às ocorrências.

Os principais alvos estavam no setor de educação e pesquisa, seguido por tecnologia e comunicações, indústria e entidades governamentais. Os dados descrevem o conjunto de incidentes observado pelos pesquisadores, não uma medição de todos os servidores Linux comprometidos.

Mitigação

As recomendações apresentadas pela Microsoft combinam análise do host e controle da comunicação de rede:

• Investigar a presença do GSocket e remover instalações maliciosas e arquivos associados.

• Auditar tarefas do cron, serviços do systemd e arquivos de inicialização do shell em busca de alterações não autorizadas.

• Verificar se as conexões de saída para a rede de retransmissão realmente cessaram após a contenção.

• Restringir o tráfego de saída a destinos previamente autorizados, conforme as necessidades do ambiente.

• Manter o sistema operacional e as aplicações atualizados, sem tratar a aplicação de patches como substituta da investigação de comprometimento.

Referências

• [1] – Hackers plant GSocket on Linux servers for persistent access
• [2] – The global socket: how threat actors are weaponizing GSocket for stealthy C2
• [3] – Gsocket