Los hackers instalan GSocket en servidores Linux para obtener acceso persistente.

Diversos ciberdelincuentes están abusando de GSocket, una herramienta legítima de acceso remoto de código abierto, para mantener el acceso a servidores Linux incluso después de corregir las vulnerabilidades explotadas para obtener el acceso inicial.

Desde marzo, las detecciones de actividad maliciosa de GSocket han aumentado, especialmente en ataques dirigidos a aplicaciones web y entornos de alojamiento.

GSocket permite a los atacantes acceder a sistemas protegidos por firewalls o NAT interceptando las conexiones de red y reemplazando la comunicación convencional de la capa IP del programa con su propia capa de transporte, que enruta el tráfico a través de la Red Global de Retransmisión de Sockets (GSO).

Dado que ambos extremos inician conexiones salientes al servidor de retransmisión, que los empareja y gestiona una sesión cifrada de extremo a extremo, un atacante puede reconectarse sin necesidad de la dirección IP o el nombre de host del servidor comprometido.

Esto dificulta que los defensores interrumpan los ataques mediante listas de control de acceso (ACL) basadas en IP o dominio.

Según la telemetría de Microsoft Defender para Endpoint, las detecciones relacionadas con GSocket aumentaron un 356,2 % entre marzo y agosto.

Microsoft explica que tanto el servidor comprometido como el atacante se conectan de forma saliente, por lo que el servidor no necesita implantes de escucha entrante, lo que hace que el ataque sea más sigiloso.