Nach der Telemetrie von Microsoft Defender for Endpoint stiegen die Erkennungen im Zusammenhang mit GSocket zwischen März und August um 356,2 Prozent. 87,1 Prozent der erfassten Vorfälle betrafen Webanwendungen und Hosting: Auf PHP-Webanwendungen und cPanel-Hosting entfielen 63,9 Prozent, auf Apache 24,3 Prozent. Am häufigsten getroffen wurden Einrichtungen aus Bildung und Forschung, gefolgt von Technologie und Kommunikation, der Fertigungsindustrie und Behörden.

GSocket fängt Netzwerkverbindungen ab und ersetzt die übliche Kommunikation auf IP-Ebene durch eine eigene Transportschicht, die den Datenverkehr über das Global Socket Relay Network leitet. Sowohl der kompromittierte Server als auch der Angreifer bauen ausgehende Verbindungen zum Relay auf, das beide zusammenführt und eine Ende-zu-Ende-verschlüsselte Sitzung vermittelt. „Der kompromittierte Host und der Operator verbinden sich beide ausgehend mit dem Relay, das die beiden Sitzungen überbrückt“, erklärt Microsoft. „Der Host benötigt weder einen eingehenden Listener noch eine öffentliche IP-Adresse, und Network Address Translation verhindert die Verbindung nicht.“

Damit erreichen Angreifer auch Systeme hinter Firewalls oder NAT und können sich erneut verbinden, ohne IP-Adresse oder Hostnamen des Servers zu kennen. Zugriffslisten auf Basis von IP-Adressen oder Domains greifen deshalb kaum, ein eigener Command-and-Control-Server ist überflüssig. Eingehende Firewall-Regeln erkennen den Verkehr laut Microsoft nicht, Egress-Filterung und die Überwachung ausgehender Verbindungen hingegen schon.

Die Forscher beobachteten, dass die Angreifer GSocket als Kernel-Thread tarnen und sich über Cron-Jobs, systemd-Dienste und Shell-Startdateien dauerhaft einnisten. In einigen Fällen versuchten sie zudem, über die als „Dirty Frag“ bekannte Linux-Kernel-Lücke CVE-2026-43284 Root-Rechte zu erlangen.

Microsoft empfiehlt Administratoren:

  • GSocket und zugehörige Dateien von möglicherweise betroffenen Servern zu entfernen und zu prüfen, ob die ausgehenden Verbindungen zum Relay-Netz aufgehört haben,
  • ausgehenden Datenverkehr auf festgelegte Ziele zu beschränken,
  • Cron-Jobs, systemd-Dienste und Shell-Startdateien auf unerwünschte Einträge zu prüfen,
  • Betriebssystem und Anwendungen aktuell zu halten und insbesondere CVE-2026-43284 zu patchen.