Вредонос для F5 BIG-IP APM прячет PHP-бэкдор в памяти
По данным Sophos, вредоносное ПО, связанное со взломами устройств BIG-IP APM, подменяет содержимое штатных PHP-скриптов только после их загрузки Apache. Проверка файлов на диске в таком случае может не выявить веб-шелл.
Исследователи Sophos описали вредоносное ПО для F5 BIG-IP Access Policy Manager, которое внедряет PHP-веб-шелл непосредственно в память процесса Apache. При этом исходные скрипты на диске могут оставаться без изменений, поэтому обычное сканирование файлов и сравнение их с эталонными копиями не обнаружит бэкдор.
В изученном образце вредонос перехватывает загрузку PHP-модуля Apache и меняет работу функций, через которые PHP открывает и отображает файлы в памяти. Когда сервер обращается к одному из трёх штатных скриптов BIG-IP APM — apm_css.php3, full_wt.php3 или webtop_popup_css.php3, — вредоносный код добавляет веб-шелл к их версии в памяти.
Эти же файлы F5 указывала в мартовском списке индикаторов компрометации для активности, которую отслеживает под именем c05d5254. Тогда компания отдельно предупреждала, что само по себе наличие или изменение этих скриптов ещё не доказывает взлом: веб-шелл может работать только в памяти и не оставлять модифицированного файла на накопителе. Анализ Sophos объясняет, как реализован такой сценарий.
Веб-шелл принимает тело HTTP-запроса, ищет в нём короткий маркер, расшифровывает оставшиеся данные и выполняет их. В ответ он возвращает код 201 и заголовок CSS, маскируя обмен под запрос таблицы стилей. Кроме того, образец создаёт локальный сокет /run/bigtlog.pipe: после проверки фиксированного токена он соединяет клиента с /bin/bash, предоставляя интерактивную оболочку без открытия сетевого порта. Sophos не обнаружила в образце кода, который подключался бы к этому сокету, поэтому не установила, связан ли этот канал с веб-шеллом.
Сам веб-шелл — завершающая часть цепочки: более ранние действия всё же затрагивают файловую систему. По данным Sophos, отдельный установщик с именем umount внедряет код в /usr/sbin/httpd, добавляя вредоносный фрагмент в начало исполняемого файла Apache. ESET, ранее изучавшая связанные образцы под названием PoisonedRefresh, сообщала, что установщик предназначен для запуска от root, отключает SELinux и заражает umount, httpd и rc.local в установочных образах BIG-IP.
Активность F5 связывала с CVE-2025-53521 — уязвимостью BIG-IP APM, которую в марте 2026 года переклассифицировали из отказа в обслуживании в удалённое выполнение кода. Для её эксплуатации не требуется аутентификация. F5 оценивает проблему в 9,8 балла по CVSS 3.1 и в 9,3 балла по CVSS 4.0; CISA добавило её в каталог известных эксплуатируемых уязвимостей. Исправления доступны для веток 17.5, 17.1, 16.1 и 15.1.
В качестве поводов для проверки Sophos и F5 указывают появление /run/bigtlog.pipe или /run/bigstart.ltm, несовпадение хеша, размера либо временных меток /usr/bin/umount и /usr/sbin/httpd с заведомо корректными версиями, а также сбои sys-eicheck из-за изменения этих файлов. Исследователи подчёркивают, что такие признаки сами по себе не подтверждают компрометацию и их следует сопоставлять с данными о файлах, процессах и содержимом памяти.