Хакеры взламывают устройства F5 BIG-IP APM и внедряют Linux-rootkit
Исследователи кибербезопасности обнаружили вредоносную кампанию против устройств F5 BIG-IP APM. Атакующие используют сложный Linux-rootkit, способный перехватывать загрузку PHP-файлов и внедрять безфайловую веб-оболочку непосредственно в оперативную память. Благодаря этому вредоносный код не сохраняется на диске, что существенно усложняет его обнаружение традиционными средствами защиты.
По оценкам специалистов, вредоносная программа может быть вторичным этапом атаки после эксплуатации критической уязвимости CVE-2025-53521. Изначально проблема считалась связанной с отказом в обслуживании, однако в марте F5 Networks переквалифицировала ее в уязвимость удаленного выполнения кода. При наличии действительных учетных данных злоумышленники добиваются результата примерно в 63% случаев: блокируется лишь около 37% их действий.
Подробный разбор атаки опубликован в материале о том, как хакеры внедряют Linux-rootkit в F5 BIG-IP APM. Исследователи Sophos изучили образ вредоносного ПО и пришли к выводу, что он предоставляет атакующим выполнение серверного кода по запросу. По функциональности имплант напоминает веб-шелл, но использует более глубокие методы, связанные с архитектурой Linux и Apache.
Аналогичный образ ранее исследовали эксперты ESET, которые дали ему название PoisonedRefresh. По данным Sophos, вредоносная программа устанавливается отдельным компонентом распространения. Он заражает исполняемый файл Apache `/usr/sbin/httpd`, применяемый в системах BIG-IP APM, изменяет настройки SELinux и сохраняет присутствие даже после обновления программного образа устройства.
Имплант скрывает важные строки с помощью шифрования RC4 и получает управление еще до вызова основной функции приложения. Для этого он перехватывает `__libc_start_main`, а затем воздействует на PHP-модуль Apache через перехват загрузчика APR `apr_dso_load`. В результате злоумышленники могут внедрять веб-шелл в память процесса, не изменяя исходные файлы на диске.
Основной целью становятся PHP-скрипты, используемые в веб-интерфейсе BIG-IP APM, включая `apm_css.php3`, `full_wt.php3` и `webtop_popup_css.php3`. Эти файлы выглядят легитимно и обычно присутствуют в средах webtop, поэтому их выбор помогает снизить вероятность срабатывания защитных механизмов. При этом содержимое файлов остается прежним, а вредоносные изменения происходят только в памяти во время работы Apache.
Встроенная веб-оболочка принимает специально сформированные запросы, которые исследователи называют "магическими". Содержимое таких запросов расшифровывается, передается функции `eval()` в PHP и выполняется на сервере. Ответ возвращается с кодом HTTP 201 и типом `text/css`, благодаря чему трафик маскируется под обычную выдачу таблицы стилей.
Rootkit также содержит механизм задержки. Локальный бэкдор создается не сразу после запуска Apache, а после того, как процесс начинает выполнять обычные операции с системным временем. Затем имплант запускает и отделяет рабочий поток, отвечающий за создание UNIX-сокета. Такая тактика уменьшает риск сбоя сервиса и позволяет вредоносной активности сливаться с нормальным поведением системы.
Через защищенный паролем локальный сокет злоумышленники могут запускать интерактивную оболочку Bash. При этом устройство не открывает дополнительный TCP-порт, а сам сокет напрямую недоступен из интернета. Для его использования атакующим требуется иная точка доступа к системе. Как именно злоумышленники взаимодействуют с этим компонентом, исследователи пока не установили.
Для обнаружения rootkit на F5 BIG-IP специалисты рекомендуют отслеживать необычное поведение процессов Apache: чтение `/proc/self/maps`, изменение прав доступа к областям памяти `libphp`, создание файла `/run/bigtlog.pipe` и запуск `/bin/bash`. Отдельного внимания требуют POST-запросы к перечисленным PHP3-адресам, особенно если сервер отвечает кодом HTTP 201 и одновременно использует заголовок `Content-Type: text/css`.
Организациям, эксплуатирующим BIG-IP APM, стоит регулярно проводить аудит безопасности F5 BIG-IP APM: проверять целостность системных компонентов, состояние SELinux, журналы Apache, историю обновлений и подозрительные процессы. Одной только смены паролей недостаточно, поскольку успешная атака может закрепиться внутри исполняемого файла или памяти процесса.
Комплексная F5 BIG-IP APM защита от взлома должна включать своевременную установку исправлений, ограничение административного доступа, многофакторную аутентификацию, сегментацию сети и мониторинг исходящих соединений. Дополнительно полезно применять услуги кибербезопасности для F5 BIG-IP APM, если внутри организации нет специалистов, способных анализировать Linux-компоненты, Apache и память работающих процессов.
Эксперты ShadowServer Foundation также отслеживают потенциально уязвимые устройства и признаки компрометации. Владельцам F5 BIG-IP рекомендуется сопоставить телеметрию своих систем с опубликованными индикаторами, сохранить криминалистические копии журналов и при подозрении на заражение проводить проверку с доверенного внешнего носителя. Простая перезагрузка не гарантирует устранения угрозы: если первичная уязвимость остается открытой, rootkit может быть установлен повторно.
Главная опасность кампании заключается в сочетании удаленного выполнения кода, скрытого внедрения в память и устойчивости к обновлениям. Такая схема позволяет злоумышленникам сохранять доступ к критически важному шлюзу аутентификации и незаметно выполнять команды от имени серверного процесса. Поэтому проверку BIG-IP APM следует рассматривать не как разовую реакцию на инцидент, а как постоянную процедуру контроля защищенности устройства.
