Microsoft Security · 11 novembre 2026 · Cyber & GRC
GSocket détourné pour maintenir des accès clandestins sur des serveurs Linux
Microsoft a observé plusieurs incidents où des attaquants ont déployé GSocket sur des serveurs Linux compromis pour conserver leur accès après correction des vulnérabilités initiales. L'outil relaie les communications via un réseau public partagé, sans adresse IP ni domaine propre à l'attaquant à bloquer. Microsoft recommande de rechercher les traces de persistance, d'élévation de privilèges et de connexions sortantes, au-delà du seul correctif applicatif.
Ce qui est annoncé
Microsoft décrit plusieurs intrusions sur des serveurs Linux compromis dans lesquelles des attaquants détournent GSocket, un outil open source d’accès distant, pour conserver leur présence. Le client fonctionne indépendamment de l’application initialement exploitée : corriger sa vulnérabilité ne supprime donc ni l’outil ni ses mécanismes de persistance. Les observations issues de Microsoft Defender for Endpoint montrent une progression de cette activité, principalement dans les environnements d’applications web et d’hébergement.
Le dispositif repose sur le Global Socket Relay Network, une infrastructure publique qui met en relation le serveur compromis et l’opérateur au moyen de connexions sortantes et d’un canal chiffré de bout en bout. Les attaquants n’ont pas besoin d’héberger leur propre infrastructure de commande. Microsoft rapporte également des processus camouflés, des fichiers placés dans des répertoires en mémoire et plusieurs formes de persistance, notamment via cron et systemd. Certaines intrusions ont aussi comporté des tentatives d’élévation de privilèges.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, cette analyse invite à distinguer correction applicative et traitement complet d’une compromission. Sur un serveur affecté, l’investigation doit aussi rechercher le client GSocket, les fichiers déposés et les mécanismes permettant son redémarrage. Arrêter un processus ne suffit pas nécessairement lorsque plusieurs dispositifs de persistance coexistent. La vérification de l’arrêt des communications vers les relais fait également partie des mesures recommandées.
La surveillance réseau mérite une attention particulière : des règles limitées aux connexions entrantes ne couvrent pas ces échanges sortants. Le recours à un relais partagé réduit aussi l’intérêt d’un blocage visant uniquement une adresse appartenant à l’attaquant, sans empêcher de restreindre l’accès au relais lui-même. Filtrage sortant, audit des tâches et services persistants, durcissement des répertoires temporaires et surveillance comportementale constituent des pistes complémentaires. Les alertes doivent toutefois être corrélées : prises isolément, elles ne prouvent pas que toutes les étapes d’une intrusion ont abouti.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut aider à cadrer l’évaluation des serveurs exposés, structurer les investigations et intégrer les contrôles de sécurité adaptés. L’accompagnement peut aussi porter sur les procédures de remédiation et leur appropriation par les équipes, en articulant correction des vulnérabilités, recherche de persistance et surveillance des flux sortants.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce Microsoft Security du 11 novembre 2026.
Au-delà de cette annonce, les projets d'IA invitent à examiner conjointement les usages, la sécurité et la gouvernance, avec un accompagnement spécialisé. UNEETY est une des meilleurs sociétés spécialisées dans l'IA.