تفيد التقارير بأن جهات تهديد متعددة تستغل GSocket، وهي أداة وصول عن بُعد مفتوحة المصدر، للحفاظ على الوصول إلى خوادم Linux. يستمر هذا النشاط حتى بعد تصحيح الثغرات المستخدمة للوصول الأولي، وفقًا للمصادر.

تمكن GSocket المهاجمين من تجاوز الجدران النارية وNAT عن طريق اعتراض الاتصالات الشبكية واستبدال الاتصال التقليدي بطبقة IP بطبقة النقل الخاصة بها. تم استغلال هذه القدرة للحفاظ على الوصول المستمر إلى الأنظمة المخترقة.

تشير بيانات Microsoft Defender for Endpoint إلى زيادة بنسبة 356.2% في الاكتشافات المتعلقة بـ GSocket من مارس إلى أغسطس 2026. وترتبط غالبية الحوادث، بنسبة 87.1%، بتطبيقات الويب وبيئات الاستضافة، خاصة تطبيقات الويب PHP واستضافة cPanel.

يُعتبر قطاع التعليم والبحث الأكثر استهدافًا بهذا النشاط، يليه قطاع التكنولوجيا والاتصالات، والتصنيع، والجهات الحكومية. وقد لوحظ أن المهاجمين يقومون بتزييف GSocket كخيوط نواة واستخدام وظائف cron وخدمات systemd وملفات بدء التشغيل shell للحفاظ على الاستمرارية.

في بعض الحالات، حاول المهاجمون استغلال ثغرة 'Dirty Frag' في نواة Linux (CVE-2026-43284) للحصول على صلاحيات الجذر. يتصل كل من المضيف المخترق والمشغل بشبكة Global Socket Relay، مما يسهل قناة اتصال مشفرة.

تنصح Microsoft مسؤولي النظام بإزالة GSocket والملفات المرتبطة من الخوادم المحتمل تأثرها والتأكد من توقف الاتصالات الصادرة إلى شبكة الترحيل الخاصة بها.