Des attaquants utilisent GSocket, un outil d'accès à distance open source légitime, pour conserver le contrôle de serveurs Linux compromis après que les administrateurs ont corrigé les vulnérabilités exploitées pour s'introduire. Dans un rapport de Microsoft daté du 11 novembre, l'entreprise décrit plusieurs intrusions au cours desquelles l'outil a survécu à la remédiation. Les défenseurs ont donc dû examiner l'hôte et supprimer la persistance, en plus de corriger la faille initiale.
Cette activité touche particulièrement les applications web et les environnements d'hébergement. La télémétrie de Microsoft Defender for Endpoint fait état d'une hausse de 356,2 % du nombre d'appareils ayant donné lieu à des détections liées à GSocket, de mars à août 2026, même si la progression a varié d'un mois à l'autre. Cette mesure porte sur des appareils ayant fait l'objet de détections, et non sur un nombre d'intrusions réussies confirmées.
Dans un article publié le 12 novembre par BleepingComputer, qui cite Microsoft, le site indique que 87,1 % des incidents détectés concernaient les applications web et l'hébergement. Il fait état de parts de 63,9 % pour les applications web PHP et l'hébergement cPanel, et de 24,3 % pour Apache. Le secteur de l'éducation et de la recherche était le plus ciblé, suivi par celui des technologies et des communications, de l'industrie manufacturière et des administrations publiques.
Comment l'accès survit à un correctif
Microsoft a observé des attaquants exploitant des applications exposées sur Internet pour exécuter des commandes sous le compte du service web, puis déployer GSocket. Comme le client relais fonctionne indépendamment de l'application vulnérable, corriger cette application ne supprime ni le client ni les mécanismes qui le relancent.
GSocket fait transiter le trafic par le Global Socket Relay Network, un service public partagé. Le serveur compromis et l'attaquant initient chacun une connexion sortante vers un relais, qui les met en relation via un canal chiffré de bout en bout. Le serveur n'a besoin ni d'un service d'écoute entrant ni d'une adresse IP publique. La traduction d'adresses réseau (NAT), qui permet à des systèmes de partager une adresse externe, n'empêche pas la connexion.
Les attaquants obtiennent ainsi un accès à distance sans exploiter de serveur de commande et contrôle dédié, c'est-à-dire l'infrastructure qui sert habituellement à piloter les systèmes compromis. Ils peuvent se reconnecter sans connaître l'adresse IP ni le nom d'hôte du serveur compromis. Il n'existe donc aucune adresse ou aucun domaine appartenant à l'attaquant que les défenseurs pourraient bloquer, même si les organisations peuvent restreindre l'accès au réseau de relais lui-même.
Les règles de pare-feu entrant ne captent pas ce trafic sortant, contrairement au filtrage et à la surveillance des flux sortants.
Microsoft indique que plusieurs acteurs de la menace, sans lien entre eux, ont adopté GSocket. Son script de déploiement peut renommer des processus, placer des fichiers dans des répertoires adossés à la mémoire et installer des mécanismes destinés à survivre à un redémarrage. Les chercheurs ont observé des attaquants qui déguisaient des processus en threads du noyau Linux et utilisaient des tâches planifiées cron, des services systemd et des fichiers de démarrage du shell pour maintenir leur accès. La persistance après redémarrage et les sessions relais réussies n'ont pas été confirmées dans toutes les intrusions analysées.
Dans certains cas, les attaquants ont aussi tenté d'exploiter la vulnérabilité du noyau Linux CVE-2026-43284, que BleepingComputer décrit comme « Dirty Frag », afin de passer du compte du service web à root, le compte disposant des privilèges les plus élevés sous Linux. Microsoft qualifie ces actions de tentatives d'exploitation.
Ce que les défenseurs peuvent rechercher
Les alertes observées par Microsoft couvraient des shells suspects lancés par des serveurs web et des environnements d'exécution applicatifs, l'exécution de GSocket, des téléchargements de charges utiles, des tâches cron et des services Linux nouvellement créés. D'autres signaux incluaient l'exécution de fichiers cachés, l'obfuscation, des horodatages modifiés, la suppression de binaires en cours d'exécution, des tentatives d'effacement de l'historique des commandes, la reconnaissance du système et des comportements de reverse shell. Une alerte isolée ne permet pas d'établir le vecteur d'accès initial ni de prouver que chaque étape de l'intrusion a réussi.
Par exemple, Microsoft a observé une commande bash appelant la charge utile renommée /usr/bin/defunct, ainsi que des références à defunct.service et un lien multi-user.target.wants servant à activer un service systemd. Cela montre pourquoi les administrateurs doivent examiner les noms de services d'apparence plausible, et pas seulement les noms de fichiers GSocket reconnaissables.
Microsoft a publié des requêtes de chasse Defender XDR couvrant les sept derniers jours. Elles recherchent dans les noms de processus et les lignes de commande les termes gs-netcat, gsocket, gsnetcat et gsocket.io, puis affichent le compte, le chemin et le processus parent pour l'investigation. D'autres requêtes vérifient l'activité de téléchargement et les connexions réseau impliquant gsocket.io et gsgg.b-cdn.net.
Ces domaines, ainsi que cdn.gsocket.io, distribuent l'outil légitime ; il ne s'agit pas d'une infrastructure de commande et contrôle appartenant aux attaquants. Les cibles de récupération observées comprenaient hxxps://gsocket[.]io/y et hxxps://gsocket[.]io/install.sh, même si la récupération réussie depuis la seconde n'a pas été établie.
Les recherches de fichiers portent sur les chemins commençant par /dev/shm/.gs- et sur les noms incluant systemd-remount-d, .gsn_ora, defunct et defunct.service. Microsoft a également publié ces observations précises de fichiers et leurs empreintes SHA-256 :
/dev/shm/.gs-0/gs-netcat_mini-linux-x86_64:d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa/dev/shm/.gs-0/gs-netcat_mini-linux-aarch64:f95c4d029e6784e3849b4d1e2e2ae1a661187236ef7c5d487c71158a290a03b5/tmp/systemd-remount-det/usr/bin/systemd-remount-d:55d141bb2f62c527c3fea3413b8429fed7d52633d0b123b5e611bfa42165229f/tmp/.gsn_ora:12450bafc7a4398040e1ad3a16dbf4dbc79b6a8f83ef306c4f0f73f59886f06c
Les binaires propres à chaque architecture étaient associés à des téléchargements depuis hxxps://gsgg[.]b-cdn[.]net/bin/gs-netcat_mini-linux-x86_64 et hxxps://cdn[.]gsocket[.]io/bin/gs-netcat_mini-linux-aarch64. Ces indicateurs correspondent à des observations ponctuelles, et non à un inventaire complet. Microsoft conseille d'examiner les correspondances en parallèle de l'ascendance des processus, du contexte d'exécution, des modifications de persistance et de l'activité réseau.
Supprimer la présence malveillante en plus de la faille
Selon Microsoft, les administrateurs qui enquêtent sur des serveurs Linux touchés doivent supprimer le client GSocket non autorisé, les fichiers déposés et la persistance associée, puis vérifier que les connexions sortantes vers l'infrastructure relais ont cessé. Arrêter seulement le processus en cours peut laisser intacts d'autres mécanismes de relance.
L'entreprise recommande également d'examiner les entrées cron, les unités systemd et les fichiers de démarrage du shell ; d'appliquer des règles sortantes par défaut en refus, n'autorisant que les destinations nécessaires ; et de surveiller les connexions relais. Lorsque c'est possible, les répertoires temporaires et ceux adossés à la mémoire devraient être montés en mode non exécutable, avec des alertes pour toute exécution depuis des chemins cachés ou accessibles en écriture à tous.
Les applications exposées sur Internet, les systèmes de gestion de contenu, les extensions et les serveurs d'applications doivent être maintenus à jour. Microsoft conseille de supprimer les composants inutilisés et de restreindre les chemins de téléversement et d'administration. Les administrateurs devraient aussi donner la priorité aux correctifs d'élévation locale de privilèges, notamment CVE-2026-43284. À titre distinct de cette recommandation, Microsoft a cité les travaux du FORGE Lab sur 59 rapports de bugs du noyau Linux, dont huit vulnérabilités accompagnées d'exploits d'accès root local démontrés dans des environnements contrôlés.
Les organisations qui utilisent Defender for Endpoint sous Linux doivent, selon Microsoft, garder activées la protection en temps réel, la protection fournie par le cloud et la surveillance comportementale. Cela inclut la détection de processus enfants inhabituels issus des services web et d'identités de processus déguisées. La correction des applications doit être suivie d'un nettoyage de l'hôte et de la vérification que les connexions relais ont pris fin.
