Malware · 20 ore fa
Microsoft ha rilevato molteplici incidenti in cui GSocket ha mantenuto l’accesso a server Linux compromessi anche dopo la correzione delle vulnerabilità usate per entrare. Microsoft riferisce che l’uso dello strumento è cresciuto negli ultimi mesi e coinvolge attori non collegati tra loro.
GSocket instrada il traffico attraverso una rete pubblica condivisa: il server compromesso e l’operatore si collegano entrambi verso l’esterno e il relay li mette in comunicazione. Non serve un listener in ingresso né un indirizzo controllato dall’attaccante da bloccare. Microsoft segnala anche tentativi di sfruttare CVE-2026-43284 per ottenere privilegi più elevati.
Per chi gestisce applicazioni web esposte e ambienti di hosting Linux, correggere la falla iniziale può lasciare intatto l’accesso persistente. La bonifica dipende quindi da ciò che resta sul server e dalle sue connessioni in uscita, non soltanto dalla patch.
2 fonti che coprono questa storia
Hackers plant GSocket on Linux servers for persistent access
Multiple threat actors are abusing GSocket, a legitimate open-source remote access tool, to maintain access to Linux servers even after patching the vulnerabilities exploited to gain initial access.
Threat actors are deploying GSocket on compromised Linux servers to keep encrypted remote access after the original vulnerability is patched.
Part of the PlainSec briefing for 2026-11-13