Agentes de ameaça usam o GSocket como C2 furtivo e mantêm acesso mesmo após correção da falha, diz Microsoft

A Microsoft observou vários incidentes em que agentes de ameaça instalaram o GSocket, ferramenta open source de acesso remoto, em servidores Linux já comprometidos. A entrada costuma ser uma aplicação web exposta: o invasor ganha execução de comandos no contexto do processo do servidor web, usa curl para baixar e executar um script remoto e esse script perfila o host, escolhe o cliente GSocket compatível com a arquitetura e o grava em caminhos graváveis ou em memória, como /dev/shm. Em seguida, abre um canal C2 criptografado de saída pela Global Socket Relay Network.

O ponto técnico central é que o GSocket identifica as pontas por um segredo compartilhado, não por IP ou hostname. O script gera um segredo aleatório na instalação, e o operador pode recebê-lo por console, arquivo temporário, Telegram, Discord ou webhook. Host e operador conectam de saída ao relay, que pareia as sessões. Não há listener de entrada nem IP do atacante para bloquear. Para persistir, os atacantes usaram cron, systemd, perfis de shell, watchdogs e cópias redundantes, com nomes de processo que imitam threads do kernel, e depois apagaram os arquivos de staging. Em poucos incidentes, tentaram explorar a CVE-2026-43284 (Dirty Frag) para virar root.

A telemetria do Defender for Endpoint mostra alta de 356,2% nos dispositivos com detecções entre março e agosto de 2026, sem crescimento constante mês a mês. Aplicações web e hospedagem somaram 87,1% dos incidentes atribuíveis (PHP e cPanel com 63,9%, Apache com 24,3%). Educação e pesquisa tiveram a maior parcela de organizações afetadas (30,7%), seguida de tecnologia e telecomunicações (22,9%). A própria Microsoft diz que isso provavelmente reflete exposição, não escolha deliberada de setor.

Para quem opera servidores Linux expostos, a leitura é que fechar o ticket de patch não encerra o incidente. Se houve RCE, o host precisa ser investigado como comprometido: processos disfarçados, unidades systemd com nomes plausíveis, cron, arquivos em /dev/shm e conexões de saída para o relay. Egress deny-by-default e monitoramento de saída ganham peso, já que o firewall de entrada não enxerga esse tráfego e a lista de IPs maliciosos serve de pouco.