Atacantes usam o GSocket para montar C2 furtivo após invadir aplicações web, alerta Microsoft
Aprofundamento CEVIU
Aprofundamento
O ponto central do alerta da Microsoft é que uma invasão por RCE em aplicação web deixa de depender da falha original. Depois de explorar PHP, cPanel ou Apache, os atacantes usam curl para baixar e executar um script remoto. O script perfila o host, escolhe o cliente GSocket compatível com a arquitetura e o grava em caminhos como /dev/shm. A persistência vem por cron, systemd, shell profiles, watchdogs e cópias redundantes, e os arquivos de preparação são apagados depois.
O GSocket identifica as pontas por um shared secret, não por IP ou hostname. Host comprometido e operador se conectam de forma outbound à Global Socket Relay Network, que os pareia num canal criptografado ponta a ponta. Não há IP ou domínio do atacante para bloquear, e regras de entrada não enxergam esse tráfego. Egress filtering e monitoramento de saída enxergam. A Microsoft registrou alta de 356,2% em dispositivos com detecções de GSocket entre março e agosto de 2026, embora não constante mês a mês. Aplicações web e hospedagem somaram 87,1% dos incidentes atribuíveis, e educação e pesquisa foram o setor mais afetado (30,7%), provavelmente por exposição e não por escolha deliberada. Em poucos incidentes, houve tentativa de escalar a root com o CVE-2026-43284 (Dirty Frag).
O que mudou
Em 11 de novembro de 2026, o CEVIU noticiou "Agentes de ameaça usam o GSocket como C2 furtivo e mantêm acesso mesmo após correção da falha, diz Microsoft", sobre o mesmo relatório da Microsoft. A cobertura de 13 de novembro detalha o que aquele texto apenas introduzia: o método de implantação, a camuflagem com nomes de kernel threads, as camadas de persistência, o uso do Dirty Frag e as medidas de egress deny-by-default e noexec.
Por que isso importa
Para quem opera servidores web Linux, isso significa que aplicar o patch da aplicação não encerra o incidente. Na leitura editorial, a resposta precisa incluir caça ao cliente GSocket, revisão de cron, systemd e profiles, e política de egress restritiva. Hospedagens compartilhadas e ambientes acadêmicos descentralizados tendem a ser os mais difíceis de inventariar.
Linha do tempo
CEVIU noticia o relatório da Microsoft sobre o GSocket como C2 furtivo que sobrevive à correção da falha.
Detalhamento da cadeia de ataque, da persistência, do uso do Dirty Frag e das mitigações recomendadas.
Perguntas frequentes
O que é o GSocket e por que atacantes o usam?
É uma ferramenta open source de acesso remoto que conecta dois pontos por uma rede pública de relays, usando um shared secret. Atacantes gostam porque não precisam manter infraestrutura própria e porque o cliente já traz recursos de evasão e persistência. Vários atores sem relação entre si já o adotaram.
Corrigir a vulnerabilidade da aplicação web basta?
Não. O GSocket roda independente da aplicação explorada, então o patch não remove o cliente nem a persistência. É preciso remover o cliente, os arquivos preparados e todas as camadas de persistência, e confirmar que as conexões ao relay pararam.
Dá para bloquear o GSocket por IP ou domínio do atacante?
Não, porque o tráfego passa pela rede pública de relays e não há infraestrutura do atacante. A Microsoft indica restringir o acesso ao próprio relay e aplicar egress deny-by-default, permitindo apenas destinos necessários.
Quais mitigações a Microsoft recomenda no host?
Montar /dev/shm e diretórios temporários como noexec quando viável e alertar sobre execução em caminhos ocultos ou graváveis por todos. Também recomenda auditar cron, unidades systemd e arquivos de inicialização do shell, e priorizar patches de escalação local de privilégio em servidores expostos.
Fontes
- microsoft.comfonte original
- Categoria
- CEVIU Segurança da Informação
- Publicado
- 13 de novembro de 2026
- Editoria
- CEVIU Segurança da Informação