北京
很多管理员把打补丁当成一次安全事件的终点。微软的最新警告给出了另一种可能：漏洞修好了，攻击者的访问通道还在。
被利用的工具叫 GSocket，一个为远程管理而生的开源工具。攻击者把它改造成了安静的后门——它的流量藏在共享的公共中继网络里，不显山不露水。
微软研究人员通过 Microsoft Defender for Endpoint 的数据识别出这轮活动，并在 2026 年 11 月 11 日发布的新报告中做了描述。报告作者为 Yash Gund、Sumith Maniath 及微软安全研究团队。微软指出，多个互不相关的威胁行为者都采用了同一款工具，2026 年 3 月至 8 月间检测量增长了 356.2%，不过逐月涨幅并不均匀。
其他研究人员也在近期的 Linux 入侵事件中看到 AI 生成的脚本在传播 GSocket，说明这款工具正被广泛复用。
攻击是怎么发生的
入口是一个暴露在互联网上的 Web 应用漏洞。攻击者一旦能通过 Web 服务器执行命令，就用 curl 下载脚本并用 bash 运行。
脚本会检查主机环境，挑选与系统类型匹配的 GSocket 客户端，把它存进可写目录或内存支撑的目录，比如 /dev/shm。这种访问通常只能维持到漏洞被修复或服务重启，于是攻击者需要第二条路。
GSocket 正好补上这一环。被感染的服务器和攻击者都向外连接 Global Socket Relay Network，由这个中继网络通过加密信道把两端会话配对。
服务器不需要开放端口，也不需要公网 IP，入站防火墙规则根本看不到这些流量。由于该工具独立运行、与被攻破的应用分离，修复原始漏洞并不会把它清除。
连接靠共享密钥匹配，而不是 IP 地址或域名。安装脚本会生成一个随机密钥，攻击者可以从控制台、临时文件，或通过 Telegram、Discord、webhook 读取它。
拿到密钥，攻击者随时可以从任意兼容的 GSocket 客户端回来。封 IP 或封域名很难切断访问，因为根本不存在属于攻击者的服务器可供封堵。
攻击者还在隐藏痕迹上下功夫。微软观察到他们重命名进程，使其看起来像内核线程；通过 cron 任务、systemd 服务、shell 配置文件和看门狗维持持久化；事后删除暂存文件。部分攻击沿用了 Linux 无文件 PHP Web Shell 的手法：藏在快速检查时看起来正常的位置。
谁在被攻击
在微软能够归因的事件中，Web 应用和托管系统占 87.1%。其中 PHP 应用和 cPanel 托管占 63.9%，Apache 占 24.3%。
受影响群体里，教育和科研机构占比最大，达 30.7%，其次是科技与电信行业，占 22.9%。
微软认为这更可能反映的是暴露面，而非定向攻击——大学往往运行着大量游离于中央 IT 管理之外的 Web 资产，难以追踪和修补。
关注过近期 cPanel 漏洞的人会熟悉这类环境。在少数案例中，攻击者还尝试利用 Linux 内核漏洞 CVE-2026-43284（代号 Dirty Frag）获取 root 权限。
该怎么处置
微软的核心建议是：既要修漏洞，也要修主机。
- 删除 GSocket 客户端、其持久化条目以及所有暂存文件，然后确认指向中继的出站连接已经停止。
- 设置默认拒绝的出站规则。
- 将临时目录和内存支撑目录挂载为不可执行。
- 检查 cron 条目、systemd 单元和 shell 启动文件。
- 在 Linux 上运行 Defender for Endpoint 并开启实时保护。
报告同时附上了入侵指标（IoCs），其中 IP 地址和域名做了防误触处理，需在 MISP、VirusTotal 或 SIEM 等受控威胁情报平台内还原。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
