Microsoft meldt toename van GSocket op gehackte Linux-webservers

In dit artikel:

Microsoft ziet GSocket steeds vaker terug op gehackte Linux-webservers, op basis van gegevens uit Defender. De open source-tool geeft aanvallers blijvende toegang tot een systeem nadat zij dit hebben binnengedrongen.

GSocket leidt het verkeer via een relaynetwerk. Daardoor hoeven aanvallers geen eigen infrastructuur te registreren of te hosten en is er geen vast IP-adres of domein dat organisaties kunnen blokkeren. De verbindingen worden uitsluitend uitgaand opgezet, waardoor inkomende firewalls, NAT en het ontbreken van een publiek IP-adres geen belemmering vormen. Wel kunnen egress-filtering en controle van uitgaand verkeer de communicatie zichtbaar maken. Het script kan bovendien zijn procesnaam aanpassen, bestanden in het geheugen plaatsen en persistentie instellen via onder meer cron, systemd en shellprofielen.

Om GSocket te installeren moeten aanvallers eerst toegang krijgen, meestal door kwetsbaarheden in webapplicaties, PHP-software, cPanel-omgevingen of Apache uit te buiten. Microsoft adviseert organisaties daarom webapplicaties snel te patchen, uitgaand verkeer te beperken en cron-taken, systemd-units en shell-opstartbestanden regelmatig te controleren.