Hackers están instalando GSocket en servidores Linux para seguir teniendo acceso incluso tras corregir las vulnerabilidades
Elígenos como tu fuente preferida en Google.
GSocket se dispara como herramienta de acceso persistente en Linux. Microsoft alerta de un aumento del 356% en ataques contra servidores web, cPanel y Apache.
Los administradores de sistemas Linux enfrentan una nueva amenaza que no se basa en malware sofisticado ni en vulnerabilidades desconocidas, sino en el abuso de una herramienta legítima de código abierto. Esta vez no se trata de que el kernel de Linus Torvalds haya sido especialmente ayudado por la IA, sino que Microsoft ha advertido de que múltiples actores maliciosos están utilizando GSocket para mantener acceso persistente a servidores comprometidos incluso después de que las vulnerabilidades iniciales hayan sido corregidas.
La compañía señala que las detecciones relacionadas con esta herramienta crecieron un 356,2% entre marzo y agosto. Se trata de una utilidad legítima diseñada para facilitar conexiones remotas seguras entre sistemas situados detrás de firewalls o redes NAT.
Sin embargo, sus características también la convierten en una opción muy atractiva para los ciberdelincuentes. Al aprovechar la infraestructura de retransmisión, los atacantes pueden volver a conectarse a equipos comprometidos sin depender de direcciones IP públicas, dominios dedicados o servidores clásicos.
¿Por qué GSocket está ayudando a los atacantes a mantener el acceso en servidores Linux?
Según explica Microsoft, tanto el sistema comprometido como el atacante establecen conexiones salientes hacia la red global de retransmisión de GSocket. El servicio se encarga de vincular ambas sesiones y negociar una conexión cifrada de extremo a extremo. Gracias a este mecanismo, el servidor infectado no necesita abrir puertos de escucha ni disponer de una dirección IP accesible desde Internet para que el atacante recupere el acceso cuando lo necesite.
La compañía destaca que "tanto el host comprometido como el operador se conectan de forma saliente al relé, lo que une las dos sesiones". Además, añade que "el host no necesita un oyente entrante ni una dirección IP pública, y la traducción de la dirección de red no impide la conexión". Esta arquitectura elimina algunas de las medidas defensivas tradicionales que suelen utilizarse para bloquear accesos remotos no autorizados.
Los atacantes pueden mantener el control de los sistemas utilizando únicamente la red de retransmisión de la herramienta. Como consecuencia, las reglas de firewall orientadas a supervisar conexiones entrantes resultan mucho menos eficaces, obligando a las organizaciones a reforzar la monitorización del tráfico saliente.
Qué sectores están siendo atacados y cómo puedes proteger tus servidores
Por otro lado, el 87,1% de las incidencias observadas estaban relacionadas con aplicaciones y servicios de alojamiento. Dentro de este grupo, las apps PHP y los entornos cPanel representaron el 63,9% de los casos detectados, mientras que los servidores Apache concentraron otro 24,3%.
Este patrón indica que los operadores maliciosos están buscando sistemas con una fuerte exposición a Internet y una gestión compleja de usuarios y servicios.
Los investigadores también detectaron técnicas destinadas a garantizar la persistencia incluso después de reinicios o tareas de limpieza parciales. Entre ellas se encuentran el camuflaje de procesos de GSocket como supuestos hilos del kernel de Linux, el uso de tareas programadas mediante cron, la creación de servicios systemd fraudulentos y la modificación de archivos de inicio del shell.
En determinadas intrusiones, los atacantes intentaron además explotar la vulnerabilidad "Dirty Frag" (CVE-2026-43284) para obtener privilegios de administrador dentro del sistema.
Para reducir el riesgo, se recomienda eliminar GSocket y cualquier archivo asociado de los sistemas sospechosos, verificar que las conexiones salientes y revisar cuidadosamente cron, systemd y los scripts de inicio en busca de modificaciones no autorizadas.
También se aconseja limitar las conexiones salientes únicamente a destinos previamente aprobados y mantener al día las actualizaciones de seguridad, incluidos los parches relacionados con CVE-2026-43284. Con lo sucedido, nuevamente Linux vuelve a estar en el foco de las grandes compañías y el equipo detrás sigue trabajando para hacer que la casa del pingüino Tux sea cada vez más agradable.