کمیته رکن چهارم– مایکروسافت هشدار داده است که مهاجمان پس از نفوذ به برخی سرورهای لینوکسی، ابزار GSocket را برای حفظ دسترسی نصب کرده‌اند؛ در نتیجه، رفع آسیب‌پذیری اولیه لزوماً به پایان نفوذ منجر نمی‌شود.
به گزارش کمیته رکن چهارم، گزارش منتشرشده در ۱۱ نوامبر ۲۰۲۶ چندین مورد سوءاستفاده از این ابزار متن‌باز و قانونیِ دسترسی از راه دور را تشریح می‌کند. مهاجمان پس از ورود، از آن برای ایجاد ارتباط رمزگذاری‌شده با سرور استفاده کرده‌اند.
در این روش، هم دستگاه آلوده و هم مهاجم به یک شبکه واسطه اتصال خروجی برقرار می‌کنند. بنابراین، مسدودکردن اتصال‌های ورودی به‌تنهایی کافی نیست. ابزار می‌تواند مستقل از برنامه آسیب‌پذیر باقی بماند و سازوکارهای اجرای خودکار، دسترسی را پس از راه‌اندازی دوباره سرور نیز حفظ کنند.
مایکروسافت می‌گوید فعالیت مشاهده‌شده عمدتاً در برنامه‌های تحت وب و محیط‌های میزبانی متمرکز بوده است. این گزارش به معنی آلوده‌بودن همه سرورهای لینوکسی یا مخرب‌بودن هر استفاده از GSocket نیست.
توصیه مایکروسافت برای سرور آسیب‌دیده، بررسی و حذف نسخه غیرمجاز ابزار، فایل‌های مرتبط و سازوکارهای اجرای خودکار و سپس اطمینان از قطع اتصال‌های آن است. مدیران باید در کنار نصب اصلاحیه‌ها، ترافیک خروجی و سرویس‌ها و وظایف زمان‌بندی‌شده مشکوک را هم بررسی کنند.
منبع: BleepingComputer
