นักวิจัยพบว่าภัยคุกคามหลายกลุ่มกำลังใช้ GSocket ซึ่งเป็นเครื่องมือเข้าถึงระยะไกลแบบ open-source ที่ถูกต้องตามกฎหมาย เพื่อรักษาการเข้าถึงเซิร์ฟเวอร์ Linux ต่อไป แม้ว่าจะมีการแก้ไขช่องโหว่ที่ใช้ในการเข้าถึงครั้งแรกไปแล้วก็ตาม
GSocket ช่วยให้ผู้โจมตีเข้าถึงระบบที่อยู่หลังไฟร์วอลล์หรือ NAT ได้ โดยการดักจับการเชื่อมต่อเครือข่ายและแทนที่การสื่อสารระดับ IP เดิมด้วยการขนส่งของตนเองผ่าน Global Socket Relay Network ทำให้สามารถเชื่อมต่อใหม่ได้โดยไม่จำเป็นต้องใช้ IP หรือชื่อโฮสต์ของเซิร์ฟเวอร์ที่ถูกบุกรุก
นักวิจัยพบว่าผู้โจมตีปลอมแปลง GSocket เป็น kernel threads และใช้ cron jobs, systemd services รวมถึงไฟล์เริ่มต้นของ shell เพื่อคงอยู่ในการบุกรุก และในบางกรณีพยายามใช้ประโยชน์จากช่องโหว่ Linux kernel “Dirty Frag” (CVE-2026-43284) เพื่อให้ได้สิทธิ์ root บนโฮสต์
Microsoft ระบุว่าเป้าหมายส่วนใหญ่ของกิจกรรม GSocket คือภาคการศึกษาและการวิจัย ตามด้วยภาคเทคโนโลยี การสื่อสาร การผลิต และหน่วยงานภาครัฐ
นักวิจัยแนะนำให้ผู้ดูแลระบบนำ GSocket และไฟล์ที่เกี่ยวข้องออกจากเซิร์ฟเวอร์ที่อาจได้รับผลกระทบ และตรวจสอบว่าการเชื่อมต่อขาออกไปยังเครือข่ายรีเลย์ได้หยุดลงแล้ว รวมถึงจำกัดการรับส่งข้อมูลขาออกไปยังปลายทางที่กำหนดไว้ล่วงหน้าและตรวจสอบ cron jobs, systemd services และไฟล์เริ่มต้นของ shell สำหรับส่วนที่ผิดปกติ
ศัพท์ที่ควรรู้
- GSocket – เป็นเครื่องมือเข้าถึงระยะไกลแบบ open-source ที่ถูกนำมาใช้โดยผู้โจมตี
- Linux servers – คือเซิร์ฟเวอร์ที่ใช้ระบบปฏิบัติการ Linux ซึ่งเป็นเป้าหมายของการโจมตี
- NAT – คือ Network Address Translation ซึ่งเป็นเทคนิคที่ช่วยให้เข้าถึงเครือข่ายที่อยู่เบื้องหลังได้
- Kernel threads – คือกระบวนการระดับเคอร์เนลที่ผู้โจมตีใช้ในการปลอมแปลงการทำงานของ GSocket
- CVE-2026-43284 – คือรหัสช่องโหว่ของ Linux kernel ที่ผู้โจมตีพยายามใช้เพื่อยกระดับสิทธิ์
ที่มา: bleepingcomputer.com