Útočníci zneužívají GSocket k skrytému přístupu na linuxové servery

Co se stalo

Microsoft 11. listopadu 2026 zveřejnil rozbor řady průniků, při kterých útočníci na napadené linuxové servery nasadili GSocket – legitimní open-source nástroj pro vzdálený přístup od skupiny The Hacker's Choice. Útočníkům slouží k tomu, aby si udrželi přístup i poté, co správce opraví zranitelnost, přes kterou se dostali dovnitř.

Podle telemetrie Microsoft Defender for Endpoint vzrostl počet detekcí souvisejících s GSocketem mezi březnem a srpnem 2026 o 356,2 % (ne rovnoměrně měsíc po měsíci). Z incidentů, u nichž šlo určit cestu dovnitř, připadlo 87,1 % na webové aplikace a hosting – PHP aplikace a hosting s cPanelem tvořily 63,9 %, Apache 24,3 %. Nejvíc zasažených organizací bylo ve školství a výzkumu (30,7 %) a v technologiích a telekomunikacích (22,9 %). Microsoft to vysvětluje spíš rozsáhlými a decentralizovanými webovými prostředími než cíleným výběrem obětí.

Microsoft v rozboru nejmenuje konkrétní skupiny útočníků ani zranitelnosti, přes které se dostali dovnitř.

Jak útok probíhá

• Průnik: útočníci zneužili webové aplikace dostupné z internetu a získali spouštění příkazů pod procesem webového serveru. Příkazy proto běží jako potomci procesů webového serveru nebo aplikačního prostředí (PHP, Java, Node.js).
• Instalace: skript stažený přes curl a spuštěný v bash zjistí architekturu serveru a vybere odpovídající sestavení klienta. Soubory se ukládají do zapisovatelných nebo paměťových cest, hlavně /dev/shm.
• Eskalace: v několika incidentech se útočníci pokusili z účtu webové služby získat root přes chybu jádra Linuxu CVE-2026-43284 (Microsoft ji uvádí jako „Dirty Frag“; podle NVD jde o chybu v cestě zpracování ESP paketů, zveřejněnou 8. 5. 2026, CVSS 3.1 až 8,8).
• Spojení: server i útočník se připojují ven na relay síť GSocketu (Global Socket Relay Network, GSRN), která obě spojení spáruje přes šifrovaný kanál. Server nepotřebuje otevřený port ani veřejnou IP, takže vstupní pravidla firewallu provoz nevidí – zachytit ho jde jen na odchozí straně. Koncové body se poznají podle sdíleného tajemství, ne podle adresy. Instalační skript tajemství vygeneruje a útočník si ho přečte z výstupu, uloží do dočasného souboru nebo si ho nechá poslat přes Telegram (proměnné GS_TG_TOKEN a GS_TG_CHATID), Discord nebo webhook.
• Maskování a perzistence: proces běžel pod názvem připomínajícím službu (systemd-remount-d) nebo jako /usr/bin/defunct spuštěný pod jménem [kaluad], které připomíná vlákno jádra. Perzistence bývala vícevrstvá – cron, jednotka systemd defunct.service, profily shellu, hlídací procesy a záložní kopie – takže samotné ukončení procesu přístup neodstranilo. Útočníci mazali dočasné soubory a měnili časová razítka souborů (touch), aby vypadaly starší.

Jak poznat napadení

Indikátory zveřejněné Microsoftem (zneškodněné). Microsoft upozorňuje, že jde o pozorování z analyzované telemetrie, ne o úplný seznam. IP adresy nezveřejnil – relay je sdílená infrastruktura, ne servery útočníka. Domény níže slouží k distribuci nástroje, ne jako řídicí servery útočníků.

Domény a URL (stažení skriptu a klienta):
gsocket[.]io
cdn[.]gsocket[.]io
gsgg[.]b-cdn[.]net
hxxps://gsocket[.]io/y
hxxps://gsocket[.]io/install.sh
hxxps://gsgg[.]b-cdn[.]net/bin/gs-netcat_mini-linux-x86_64
hxxps://cdn[.]gsocket[.]io/bin/gs-netcat_mini-linux-aarch64

Cesty:
/dev/shm/.gs-0/gs-netcat_mini-linux-x86_64
/dev/shm/.gs-0/gs-netcat_mini-linux-aarch64
/tmp/systemd-remount-d
/usr/bin/systemd-remount-d
/tmp/.gsn_ora
/usr/bin/defunct
defunct.service (odkaz v multi-user.target.wants)
Název procesu: [kaluad]

SHA-256:
d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa  gs-netcat_mini-linux-x86_64
f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5  gs-netcat_mini-linux-aarch64
55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f  systemd-remount-d
12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c  .gsn_ora

Microsoft Defender klienta označuje jako HackTool:Linux/GsNetcat.A!MTB nebo HackTool:Linux/GsNetcat!rfn. Rozbor obsahuje i dotazy pro advanced hunting v Defender XDR (procesy gs-netcat/gsocket, příkazy se stažením z výše uvedených domén, spojení na ně, hashe a cesty).

Naše tipy pro kontrolu serveru bez EDR:

• Hledejte procesy a soubory s názvy gs-netcat, gsocket, systemd-remount-d, defunct a skryté složky /dev/shm/.gs-*. Proces s hranatými závorkami v názvu (jako vlákno jádra), který má spustitelný soubor na disku, je podezřelý.
• Projděte crontab všech uživatelů včetně účtu webového serveru, jednotky systemd s nenápadnými názvy a soubory .profile, .bashrc a /etc/profile.d/.
• V logu webového serveru hledejte požadavky, po nichž proces webového serveru spustil shell, curl nebo wget. Na proxy a firewallu hledejte odchozí spojení na gsocket.io.
• Logy a exporty vložte do našeho IOC extraktoru – vytáhne domény a hashe přímo v prohlížeči.

Co udělat

1. Vyčistěte server, nejen aplikaci. Odstraňte klienta GSocketu, všechny vrstvy perzistence a dočasné soubory a ověřte, že spojení na relay ustala. Při potvrzeném průniku zvažte reinstalaci serveru a změnu hesel, klíčů a tajemství, ke kterým měl účet webového serveru přístup.
2. Aktualizujte webové aplikace, redakční systémy, pluginy a aplikační servery dostupné z internetu, odstraňte nepoužívané komponenty a omezte cesty pro nahrávání souborů a administraci.
3. Omezte odchozí provoz serverů: ve výchozím stavu zakázat, povolit jen nezbytné cíle a sledovat spojení na relay síť.
4. Zpevněte běhové prostředí: kde to jde, připojte dočasné a paměťové adresáře (/tmp, /dev/shm) s volbou noexec a hlídejte spouštění souborů ze skrytých nebo všem zapisovatelných cest.
5. Opravte chyby jádra na serverech dostupných z internetu, včetně CVE-2026-43284.
6. Incident nahlaste NÚKIB (na Slovensku SK-CERT).

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.