Microsoft : des attaquants gardent une porte dérobée sur des serveurs Web Linux piratés avec GSocket

Corriger la faille qu’un attaquant a utilisée pour entrer dans un serveur ne suffit pas toujours à le faire sortir. Dans un rapport publié le 11 novembre 2026 (en anglais), Microsoft décrit plusieurs incidents où des attaquants sont entrés dans des serveurs Web Linux et y ont installé GSocket, un outil d’accès à distance libre et gratuit, pour pouvoir revenir quand bon leur semblait, même après la correction de la faille d’origine. Si vous gérez des sites Web, des comptes d’hébergement ou d’autres serveurs Linux exposés à Internet, voici ce que Microsoft a trouvé et quoi vérifier.

Ce qu’est GSocket, et pourquoi les attaquants l’aiment

GSocket (en anglais) est un outil légitime conçu par The Hacker’s Choice pour joindre des machines derrière des pare-feu. Les deux extrémités se connectent vers l’extérieur à un relais public partagé, le Global Socket Relay Network, qui les jumelle par un canal chiffré. Une machine n’a besoin que d’un secret partagé pour être jointe, pas d’une adresse IP publique ni d’un port ouvert.

Selon Microsoft, cette conception règle plusieurs problèmes à la fois pour les attaquants :

• Rien à bloquer. Le trafic passe par un relais public, donc il n’y a ni adresse IP ni domaine appartenant à l’attaquant à mettre sur une liste de blocage. Les organisations peuvent toutefois bloquer le relais lui-même.
• Connexions sortantes seulement. Le serveur piraté appelle vers l’extérieur, donc les règles de pare-feu entrantes ne le voient pas. Le filtrage et la surveillance du trafic sortant, eux, le peuvent.
• Camouflage intégré. Le script d’installation peut renommer le processus, placer des fichiers dans des dossiers en mémoire et installer une persistance qui survit à un redémarrage.

Comment se déroulent les attaques

Microsoft dit que les intrusions suivaient une séquence semblable, même si chaque étape n’a pas eu lieu chaque fois :

1. Entrer par une application Web. Les attaquants ont exploité des applications exposées à Internet pour exécuter des commandes au nom du serveur Web, puis ont utilisé curl pour télécharger et lancer un script depuis le site même de GSocket.
2. Installer et cacher. Le script choisit la bonne version de GSocket, la place dans des endroits comme /dev/shm et la déguise sous des noms qui ressemblent à des fils du noyau ou à des services système, comme systemd-remount-d ou defunct.
3. Rester. Persistance par des tâches cron, des services systemd, des profils de shell et des chiens de garde, souvent plusieurs à la fois, puis suppression des fichiers d’installation.
4. Gagner des privilèges. Dans quelques cas, les attaquants ont tenté d’exploiter CVE-2026-43284, une faille récente du noyau Linux surnommée Dirty Frag, pour obtenir les droits root.

Le secret qui permet à l’attaquant de se reconnecter peut lui être envoyé par Telegram, Discord ou un webhook, pour qu’il revienne plus tard de n’importe où sans connaître l’adresse du serveur.

Qui est touché

Selon la télémétrie de Microsoft Defender for Endpoint, le nombre d’appareils avec des détections liées à GSocket a augmenté de 356,2 % de mars à août 2026, mais pas de façon régulière d’un mois à l’autre. Les applications Web et l’hébergement représentaient 87,1 % des incidents que Microsoft a pu attribuer. Dans ce groupe, les applications Web PHP et l’hébergement cPanel comptaient pour 63,9 % et Apache pour 24,3 %. Par secteur, l’éducation et la recherche avaient la plus grande part d’organisations touchées (30,7 %), suivies des technologies et des télécommunications (22,9 %). Microsoft dit que cela reflète probablement l’exposition, comme les vastes parcs Web dispersés des universités, plutôt qu’un ciblage délibéré. Elle n’a pas lié cette activité à un groupe précis et dit que plusieurs attaquants sans lien entre eux ont adopté l’outil.

Ce que vous pouvez faire

Si vous vous occupez de serveurs Web Linux ou de comptes d’hébergement :

1. N’arrêtez pas au correctif. Après avoir corrigé une faille d’application Web, vérifiez sur le serveur la présence de GSocket (processus ou fichiers gs-netcat ou gsocket), de tâches cron et de services systemd inconnus, et de modifications aux fichiers de démarrage du shell. Supprimez-les tous, puis confirmez que les connexions sortantes vers le relais ont cessé.
2. Cherchez des fichiers cachés dans /dev/shm et /tmp, comme un dossier .gs-0 ou .gsn_ora, et des binaires aux noms de système dans /usr/bin que vous n’avez pas installés.
3. Restreignez le trafic sortant. N’autorisez que les destinations dont vos serveurs ont besoin, et déclenchez une alerte pour les connexions vers gsocket.io et le réseau de relais.
4. Montez /dev/shm et /tmp en mode non exécutable quand c’est possible.
5. Corrigez les failles d’élévation de privilèges du noyau sur les serveurs exposés à Internet, pas seulement l’application Web.
6. Gardez à jour les applications Web, les extensions de CMS et les panneaux d’hébergement, et supprimez ceux que vous n’utilisez plus.

Si vous avez simplement un petit site en hébergement mutualisé, demandez à votre hébergeur s’il surveille les outils comme GSocket, et gardez votre CMS et vos extensions à jour.

Comment Frame peut aider

Il s’agit de serveurs compromis, pas d’une liste d’adresses courriel personnelles, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne surveille pas les serveurs.

À lire aussi

• Huntress : des attaquants se servent de montages ScreenConnect compromis pour atteindre les clients des MSP : un autre cas d’attaquants qui gardent l’accès grâce à un outil d’accès à distance légitime.
• Des attaquants visent des serveurs Qlik Sense et préparent des exploits pour ActiveMQ et Veeam : une campagne distincte cette semaine, qui misait elle aussi sur de vieilles failles de serveurs non corrigées.

Sources

• Microsoft Security, The global socket: how threat actors are weaponizing GSocket for stealthy C2 (en anglais), 11 novembre 2026
• The Hacker’s Choice, GSocket (page du projet, en anglais)