Microsoft informó este 11 de noviembre de 2026 que varios atacantes están usando GSocket en servidores Linux comprometidos para conservar acceso remoto cifrado, incluso después de corregir la vulnerabilidad que les abrió la puerta. Según su investigación de seguridad, el problema se concentra en aplicaciones web y entornos de hosting.
🔒 GSocket es una herramienta de acceso remoto de código abierto con usos legítimos, pero distintos actores la están aprovechando para establecer canales de mando y control sin operar infraestructura propia. El servidor comprometido y el atacante se conectan hacia afuera a la Global Socket Relay Network, que enlaza ambas sesiones con cifrado de extremo a extremo; no hace falta abrir un puerto de entrada ni tener una IP pública, y la traducción de direcciones de red no impide la conexión. No hay una IP o dominio propiedad del atacante que bloquear, aunque sí se puede restringir el acceso a la red de retransmisión y vigilar el tráfico saliente.
📊 En la telemetría de Microsoft Defender for Endpoint, los dispositivos con detecciones relacionadas con GSocket aumentaron 356.2% de marzo a agosto de 2026, aunque el crecimiento no fue uniforme cada mes. Las aplicaciones web y el hosting concentraron 87.1% de los incidentes que pudieron atribuirse a una categoría; dentro de ese grupo, las aplicaciones PHP y el hosting con cPanel representaron 63.9%, y Apache, 24.3%. Por sectores, educación e investigación reunieron 30.7% de las organizaciones afectadas, seguidas de tecnología y telecomunicaciones con 22.9%: Microsoft aclara que esto no demuestra una selección deliberada de víctimas y considera más probable que refleje su exposición.
⚙️ En las intrusiones analizadas que comenzaron con ejecución remota de código, los atacantes comprometieron aplicaciones expuestas a internet, inspeccionaron el servidor y usaron curl para descargar y ejecutar un script que elegía el cliente de GSocket adecuado para su arquitectura. Después colocaban archivos en rutas escribibles o respaldadas por memoria, como /dev/shm, y podían ocultar el proceso con nombres parecidos a hilos del kernel, borrar rastros de instalación y mantenerlo mediante cron, systemd, perfiles de shell, procesos de vigilancia y copias redundantes. No todas las intrusiones incluyeron cada etapa; en unas pocas también intentaron explotar CVE-2026-43284, una de las vulnerabilidades del kernel Linux conocidas como Dirty Frag, para pasar de la cuenta del servicio web a privilegios root.
🛠️ Para reencontrar el servidor, GSocket utiliza un secreto compartido, no una dirección IP o un nombre de host: de ese secreto deriva el identificador de conexión y el material de autenticación. El instalador normalmente genera uno aleatorio y lo imprime en la salida estándar; el atacante puede leerlo, recuperarlo desde un archivo temporal antes de que se elimine o recibirlo por Telegram, Discord o un webhook, con GS_TG_TOKEN y GS_TG_CHATID como opciones de configuración para Telegram. Con ese secreto puede reconectarse desde un cliente compatible sin conocer la ubicación de red de la víctima.
¿Por qué importa si administras aplicaciones web?
Corregir la aplicación no equivale a limpiar el servidor: GSocket funciona por separado y sus mecanismos de persistencia pueden sobrevivir a un reinicio. Microsoft pide investigar su instalación, la persistencia, posibles elevaciones de privilegios y las conexiones salientes, en lugar de dar por terminada la respuesta con el parche; un firewall enfocado únicamente en conexiones entrantes no cubre este canal. Para educación e investigación, la empresa señala además que los entornos web grandes y descentralizados, mantenidos fuera del área central de TI, complican el inventario y la aplicación de parches.
💬 Después de parchear una aplicación comprometida, ¿tu equipo también revisa tareas programadas, servicios y conexiones salientes del servidor?
¿Pero deveras? 🌵💚
