Threat actors sử dụng GSocket để duy trì truy cập sau khi vá lỗ hổng

Threat actors đã khai thác lỗ hổng RCE trong web application để truy cập vào hệ thống Linux và sử dụng GSocket để duy trì truy cập sau khi vá lỗ hổng. GSocket hoạt động qua một mạng relay công khai mà không có địa chỉ IP hoặc domain của threat actors, giúp họ tránh được các biện pháp ngăn chặn.

Điểm chính

• Threat actors khai thác lỗ hổng RCE trong web application để truy cập hệ thống Linux.
• Sử dụng GSocket để duy trì truy cập sau khi vá lỗ hổng ban đầu.
• GSocket hoạt động qua mạng relay công khai, không có địa chỉ IP hoặc domain của threat actors.

Khuyến nghị

• Điều tra các bằng chứng của GSocket trên các hệ thống bị tấn công, bao gồm sự tồn tại, duy trì, nâng cao quyền và kết nối ra.
• Giảm thiểu rủi ro bằng cách hạn chế truy cập đến relay công khai.
• Theo dõi và giám sát giao thức mạng để phát hiện các kết nối ra bất thường.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn Microsoft Security Blog. Vui lòng đối chiếu bài gốc trước khi sử dụng.