Зловредният код за F5 BIG-IP APM инжектира PHP уеб шел в паметта, избягвайки сканирането на диска

Зловреден код, свързан с пробиви в устройствата F5 BIG-IP Access Policy Manager, крие PHP уеб шел в паметта вместо във файл на диска, заяви Sophos в анализ, публикуван на 7 септември.

Когато Apache зареди някой от собствените PHP скриптове на трите устройства, зловредният код добавя уеб шела към копието, съхранявано в паметта, така че проверката на файла на диска може да покаже, че е чист. Тези три скрипта са същите, към които F5 насочи клиентите през март, когато заяви, че промените само в тях не показват пробив.

Уеб шелът обикновено е малък скрипт, който атакуващ поставя в папките на уеб сървър, за да изпълнява команди чрез обикновени уеб заявки. Тъй като се намира на диска, защитниците го търсят чрез сканиране на файлове и сравняването им с известни като сигурни копия.

Този подход не работи тук. Както се изразяват изследователите, уеб шелът „не е необходимо да съществува в крайната си форма на диска“.

Трите скрипта са apm_css.php3, full_wt.php3 и webtop_popup_css.php3, част от BIG-IP APM webtop. F5 посочи и трите през март в публикуван списък с индикатори за компрометиране (IoC) за зловредния код, който проследява като c05d5254, и тогава заяви, че самото им наличие не сочи за проблем със сигурността.

От F5 също така заявиха, че са виждали случаи, при които уеб шел е бил записан на диска, но че е „забелязано уеб шеловете да работят само в паметта“, което означава, че изброените файлове може да не са модифицирани. Анализът на Sophos обяснява как и двете твърдения могат да бъдат верни едновременно.

Sophos изследва един-единствен образец. В анализа му не се споменава жертва и не се посочва как е получен образецът.

F5 свърза активността c05d5254 с устройства, засегнати от CVE-2025-53521, каза Sophos. За първи път F5 публикува тази уязвимост на 15 октомври 2025 г. като проблем, водещ до отказ на услуга (DoS).

На 27 март 2026 г. F5 заяви, че нова информация я е накарала да прекласифицира уязвимостта като дистанционно изпълнение на код (RCE) и че тя е била експлоатирана. На атакуващия не му е необходим вход за достъп, за да я използва, а F5 я оценява на 9.8 по CVSS 3.1 и 9.3 по CVSS 4.0.

CISA я добави към своя каталог с известни експлоатирани уязвимости (KEV) същия ден, като даде срок на американските федерални граждански агенции до 30 март да предприемат действия.

Уязвимостта се прилага там, където е зададена политика за достъп до BIG-IP APM на виртуален сървър. Националният център за киберсигурност на Обединеното кралство (NCSC) нарича BIG-IP APM често използван компонент, особено в големи организации. Бюлетинът за сигурност на F5 изброява засегнатите и коригираните версии.

Корекцията за сигурност, която отстранява това, е на почти една година. Националният център за киберсигурност на Ирландия заяви в бюлетин от 31 март, че корекцията за сигурност, издадена през октомври, все още е валидна и ще защити срещу експлоатация.

Уеб шелът е последната стъпка в по-дълга верига, а по-ранните стъпки засягат диска. Sophos заяви, че отделен инсталатор, намерен в образец с име umount, инфектира програмата на уеб сървъра Apache в /usr/sbin/httpd, като добавя злонамерен код в началото на реалния файл. Размерът на този добавен код съвпада със зловредния код, носен в инсталатора, което според Sophos силно подсказва, че инсталаторът го поставя там.

ESET, която анализира свързани образци през април и наименува зловредния код PoisonedRefresh, заяви, че инсталаторът е предназначен да се изпълнява като root и изключва SELinux. Той също така инфектира umount, httpd и rc.local в инсталационните изображения на BIG-IP, което според ESET най-вероятно е направедено с цел разпространение на зловредния код към други системи чрез инсталационните медии.

Тъй като зловредният код се намира в програмата Apache, той се изпълнява преди да започне собственият код на Apache. Sophos заяви, че той прихваща функция на Apache Portable Runtime, apr_dso_load, и не прави нищо, докато Apache не зареди PHP модула, libphp.

След като PHP бъде зареден, зловредният код прочита /proc/self/maps, за да намери модула в паметта, за кратко прави тези страници в паметта достъпни за запис, пренаписва извикванията, които модулът използва за отваряне, оразмеряване и мапиране на файлове, след което възстановява оригиналните права. От този момент той контролира какво вижда PHP, когато отвори един от трите скрипта. Когато файлът е мапиран в паметта, зловредният код поставя уеб шела пред оригиналното съдържание.

Уеб шелът прочита суровото тяло на заявката, проверява го за кратък маркер, декриптира останалата част и я изпълнява. Той отговаря със състояние на HTTP 201 и CSS тип съдържание, така че обменът изглежда като заявка за стилова таблица (stylesheet).

Зловредният код също така отваря локален сокет в /run/bigtlog.pipe. След проверка за фиксиран токен, той свързва този сокет с /bin/bash, осигурявайки интерактивен шел без отваряне на мрежов порт.

Sophos заяви, че не е успял да намери никакъв код в образеца за свързване към този сокет и няма друга употреба на токена, така че двата начина за достъп изглеждат като отделни функции. Няма доказателства в нито една посока дали атакуващият достига до сокета чрез уеб шела.

Какво могат да проверят защитниците

Sophos заяви, че нейните поведенчески сигнали са улици за разследване, а не самостоятелни доказателства, и трябва да се разглеждат заедно с доказателства от файлове, процеси и памет. Списъкът по-долу ги комбинира с индикаторите, които F5 публикува през март.

• Файл: наличие на /run/bigtlog.pipe или /run/bigstart.ltm
• Бинарен файл: разминаване в хеша, размера или времевия маркер на /usr/bin/umount или /usr/sbin/httpd спрямо известно като сигурно копие. F5 отбелязва, че размерите и времевите маркери се различават между изданията и инженерните спешни корекции (hotfixes)
• Инструмент: грешка в sys-eicheck, защото един от тези два файла е променен
• Лог: запис в /var/log/restjavad-audit, показващ локален потребител, достигащ до iControl REST API от localhost
• Лог: запис в /var/log/auditd, показващ изключване на SELinux по същия маршрут
• Лог: запис в /var/log/audit, показващ изпълнение на bash команда през iControl REST. F5 казва, че тези редове показват base64 данни, записани във файл, и изпълнение на /run/bigstart.ltm
• Трафик: HTTP 201 отговори, носещи CSS тип съдържание от устройството
• Поведение на хоста: Apache работен процес (worker), четящ /proc/self/maps, променящ права за памет около libphp, обвързващ сокет под /run или стартиращ /bin/bash
• SHA-256: 26bd5b0722d1dbab5db749a063c49bc8638653ac2addfead7a9cb3d6d57bccc9
• Файл, слаб индикатор сам по себе си: промени по трите .php3 скрипта. F5 казва, че самото им наличие не сочи проблем, а анализът на Sophos обяснява защо: файлът изобщо не е необходимо да се променя

Списъкът на F5 съдържа и елементи, които анализът на Sophos не покрива, сред които /run/bigstart.ltm и промените, засягащи sys-eicheck. Нито един от двата доклада не описва цялата интрузия.

Ако вече сте инсталирали корекциите за сигурност

Инсталирането на корекции за сигурност не потвърждава дали дадено устройство е било компрометирано преди поставянето на корекцията.

NCSC на Ирландия заяви, че няма налична времева рамка за експлоатацията и че очаква известна експлоатация да се е случвала или да е била възможна преди уязвимостта и нейната корекция да бъдат публикувани за първи път през октомври 2025 г.

NCSC на Обединеното кралство съветва да се разследва за компрометиране „независимо кога е била актуализирана системата“.

1. Изпълнете вградената проверка за цялост sys-eicheck на F5. Собствените индикатори на F5 казват, че промените в /usr/bin/umount и /usr/sbin/httpd карат този инструмент да се проваля, така че самият провал е сигнал.
2. Съберете qkview доклад, изпратете го на F5 и отворете случай (case). NCSC на Ирландия заяви, че F5 може да провери този доклад за признаци на компрометиране и че отварянето на свързан случай осигурява по-бърз и по-пълен отговор.
3. Сравнете съдържанието на модулите в паметта с копия на диска, което Sophos препоръчва да се добави към процедурите за реагиране на инциденти (incident response playbooks) за критични уеб сървъри.
4. Когато пълно разследване не е възможно, NCSC на Обединеното кралство съветва да изолирате устройството и да го изградите наново като ново, като отбелязва, че това може да причини прекъсване на услугата.

Трите неща все още са неизвестни. F5 не е съобщила кога е започнала експлоатацията.

Нито един от публикуваните бюлетини или анализи не посочва дали актуализирането на устройство до коригирана версия премахва вече инсталирания зловреден код върху него, а и Sophos, и ESET описват компонент, проектиран да оцелява при инсталиране на актуализации.

И никой не е наименувал атакуващия: Sophos заяви, че няма достатъчно доказателства да посочи група, а ESET заяви през април, че също не е установила този въпрос.