微软披露攻击者用GSocket维持隐蔽C2

微软称，在多起事件中观察到攻击者在被入侵的 Linux 服务器上部署开源远程访问工具 GSocket，借此维持持久化 C2 访问；即使初始漏洞已被修复，攻击者仍能保持访问。GSocket 通过公共 Global Socket Relay Network 中转流量，两端均为出站连接，因此没有可封禁的攻击者自有 IP 或域名。 微软称，2026 年 3 月至 8 月，出现 GSocket 相关检测的设备增加 356.2%，但逐月增幅并不一致。在分析的遥测中，Web 应用与托管占可归因于 Microsoft Defender for Endpoint 事件的 87.1%；受影响组织中教育科研占 30.7%，科技与电信占 22.9%。微软表示这些数字仅反映受影响组织构成，不代表攻击者刻意选择这些行业。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。