GSocket utrzymuje dostęp do przejętych serwerów Linux mimo załatania luki

Microsoft opisuje serię włamań, w których przestępcy po przejęciu serwera Linux z aplikacją WWW instalują GSocket, otwarte narzędzie do zdalnego dostępu. Dzięki niemu zachowują dostęp także po załataniu luki, przez którą weszli. Według telemetrii Microsoft Defender for Endpoint takich przypadków przybywa od kilku miesięcy. GSocket przesyła ruch przez wspólną, publiczną sieć pośredniczącą, więc nie ma adresu IP ani domeny napastnika do zablokowania. Narzędzie stosuje wiele niezwiązanych ze sobą grup.

Kogo dotyczy

Serwerów Linux z aplikacjami internetowymi oraz środowisk hostingowych, na których Microsoft obserwuje tę aktywność najczęściej. Początkowy dostęp daje luka w aplikacji WWW, a w podobnych przypadkach także usługi zdalnego dostępu lub sesje cloud shell.

Co zrobić

Samo wgranie poprawki do aplikacji nie kończy sprzątania. Na hostach objętych incydentem Microsoft zaleca szukać śladów instalacji GSocket, mechanizmów utrwalenia dostępu, podniesienia uprawnień oraz nietypowych połączeń wychodzących.