Steeds vaker wordt de open source remote access tool GSocket op gehackte Linux-webservers aangetroffen, zo stelt Microsoft op basis van cijfers die via de eigen virusscanner Defender zijn verzameld. Via GSocket kunnen aanvallers toegang tot het gehackte systeem behouden. Volgens Microsoft heeft het gebruik van GSocket voor aanvallers verschillende voordelen. Om toegang te behouden hebben aanvallers meerdere opties, zoals het toevoegen van SSH keys of een reverse shell. Deze zijn echter te vinden of te sinkholen, aldus Microsoft.

GSocket biedt verschillende voordelen waardoor volgens Microsoft meerdere aanvallers er gebruik van maken. Verkeer van en naar een GSocket client gaat het via het GSocket-relaynetwerk. Een aanvaller hoeft zodoende geen infrastructuur te registreren of hosten. Ook is er geen ip-adres of domein van de aanvaller dat organisaties kunnen blokkeren. Verder wordt er alleen van uitgaande verbindingen gebruikgemaakt. Het gehackte systeem en de aanvaller maken via een uitgaande verbinding met de relay, die de twee sessies met elkaar verbindt.

Het gehackte systeem vereist ook geen inkomende listener of publiek ip-adres, NAT (network address translation) voorkomt de verbinding niet en inkomende firewall rules zien het verkeer niet, hoewel dit wel via egress filtering en het monitoren van uitgaand verkeer wel kan. Verder kan het GSocket-script het eigen proces hernoemen, bestanden in 'memory-backed directories' plaatsen en via cron, systemd en shell profiles 'persistence' installeren.

Aanvallers moeten wel toegang tot de Linux-webserver krijgen om GSocket te kunnen installeren. Hiervoor maken de aanvallers voornamelijk misbruik van kwetsbaarheden in webapplicaties, zoals PHP-webapplicaties en cPanel hosting, gevolgd door Apache. Microsoft adviseert organisaties om webapplicaties te patchen, uitgaand verkeer te beperken en cron entries, systemd units en shell-opstartbestanden te controleren.