Microsoft: hakeri «Linux» serveros slēpj «GSocket» piekļuvi, maskējot to kā sistēmas procesu

Dažādi uzbrucēji izmanto atvērtā koda rīku «GSocket», lai slepeni saglabātu piekļuvi uzlauztiem «Linux» serveriem, 11. novembrī publicētā pētījumā brīdina Microsoft drošības pētnieki. Rīks ļauj atgriezties serverī arī tad, kad ievainojamība, caur kuru uzbrucēji iekļuva, jau ir aizlāpīta.

Kā notiek uzbrukums

Pēc Microsoft datiem, uzbrucēji vispirms izmanto ievainojamas tīmekļa lietotnes, lai serverī izpildītu komandas. Tad viņi lejupielādē skriptu, kas izpēta sistēmu, izvēlas tai piemērotu «GSocket» klientu un novieto to atmiņā glabātās mapēs, piemēram, /dev/shm.

Lai procesu nepamanītu, tas tiek palaists ar nosaukumu, kas atgādina Linux kodola vai «systemd» pakalpojumu. Piekļuvi nodrošina vairāki rezerves mehānismi: «cron» uzdevumi, «systemd» pakalpojumi, ieraksti čaulas profilos un dublētas kopijas. Pēc tam uzbrucēji izdzēš pagaidu failus un maina failu laikspiedolus. Dažos gadījumos viņi mēģinājuši iegūt «root» tiesības, izmantojot ievainojamību CVE-2026-43284.

Kāpēc to grūti pamanīt

«GSocket» neizmanto uzbrucēju vadības serveri: gan uzlauztais dators, gan uzbrucējs paši pieslēdzas publiskam «Global Socket» starpnieku tīklam, tāpēc ienākošo savienojumu ugunsmūris šo datplūsmu neredz. No marta līdz augustam ar «GSocket» saistīto konstatējumu skaits Microsoft «Defender for Endpoint» pieaudzis par 356,2 %.

Konkrētu uzbrucēju grupu Microsoft nenosauc. Tīmekļa lietotnes un hostings veido 87,1 % gadījumu, kurus izdevās attiecināt, no tiem 63,9 % ir PHP lietotnes un «cPanel». Pēc skarto organizāciju skaita visvairāk cietusi izglītība un pētniecība (30,7 %), tai seko tehnoloģiju un telekomunikāciju nozare (22,9 %).

Ko iesaka darīt

Microsoft iesaka iztīrīt visu serveri, ne tikai salāpīt lietotni: izdzēst «GSocket» klientu, tā automātiskās palaišanas ierakstus un pagaidu failus, un pārliecināties, ka savienojumi ar starpnieku tīklu ir apstājušies. Izejošos savienojumus ieteicams pēc noklusējuma liegt, pagaidu un atmiņas mapes montēt bez izpildes tiesībām, regulāri pārbaudīt «cron», «systemd» un čaulas startēšanas failus, kā arī laikus atjaunināt tīmekļa lietotnes un satura vadības sistēmas.