Abusan de GSocket para mantener el acceso persistente a servidores Linux

El 12 de noviembre de 2026, Microsoft alertó de un aumento del uso malicioso de GSocket, una herramienta de código abierto que permite establecer conexiones remotas a través de Global Socket Relay Network. Las detecciones relacionadas con esta actividad crecieron un 356,2% entre marzo y agosto, según la telemetría de Microsoft Defender for Endpoint.

GSocket permite que el servidor comprometido y el operador establezcan conexiones salientes hacia el sistema de retransmisión, que las vincula y facilita una sesión cifrada de extremo a extremo. Este esquema evita la necesidad de una dirección IP pública, un nombre de host o un servidor de mando y control dedicado, y dificulta la interrupción mediante listas de control basadas en IP o dominios.

El 87,1% de los incidentes detectados afectó a aplicaciones web y entornos de alojamiento. Las aplicaciones web PHP y los alojamientos cPanel representaron el 63,9% de los casos, mientras que Apache estuvo presente en el 24,3%. Los atacantes ocultaron GSocket como procesos del kernel y recurrieron a tareas cron, servicios systemd y archivos de inicio del shell para mantener la persistencia.

En algunos incidentes, los operadores intentaron explotar la vulnerabilidad del kernel de Linux CVE-2026-43284, conocida como “Dirty Frag”, para obtener privilegios de root. Los objetivos más frecuentes pertenecían al sector de educación e investigación, seguido de tecnología y comunicaciones, fabricación y organismos gubernamentales.

Microsoft recomienda eliminar GSocket y los archivos asociados de los servidores potencialmente afectados, comprobar que han cesado las conexiones salientes hacia su red de retransmisión y revisar tareas cron, servicios systemd y archivos de inicio del shell. También aconseja restringir el tráfico saliente a destinos autorizados y mantener actualizados el sistema operativo y las aplicaciones, incluido el parche para CVE-2026-43284.

Fuente: BleepingComputer.