F5 BIG-IP APM環境のデバイスを標的とするLinuxルートキットが発見されました。このルートキットはPHPファイルの読み込みを傍受し、ファイルレスのウェブシェルを直接メモリ内へ注入することで、悪意あるコードをディスクに書き込む必要をなくしています。
このマルウェアは、F5 Networksが3月にDoS問題から深刻度を再分類した重大なリモートコード実行(RCE)の脆弱性CVE-2025-53521を悪用した後に展開された、第2段階のペイロードである可能性を示す特徴を持っています。
Sophosの研究者はサンプルを分析し、通常ウェブシェルに関連付けられる「オンデマンドのサーバーサイドコード実行」を実現している一方で、それを「より深いLinux固有・Apache固有の手口」によって達成していると指摘しています。
調査の過程でSophosは、同じマルウェアがESETによっても分析されており、ESETはこれを「PoisonedRefresh」と名付けていることを把握しました。
今週公開された技術分析の中で、Sophosはこのペイロードが、BIG-IP APMシステムで使用されているApacheの/usr/sbin/httpd実行ファイルに感染していた、別のインストーラーないし拡散用コンポーネントによって展開されたと述べています。
この悪意あるインストーラーはSELinuxの設定も変更し、BIG-IPのアップグレードイメージ全体にわたって永続性を確保していたと、Sophosの研究者は説明しています。
「この第2段階のサンプルは、RC4によって重要な動作文字列を隠蔽し、__libc_start_mainを傍受することでホストアプリケーションのmain()関数が呼び出される前に実行権を獲得します。さらにApache Portable Runtime(APR)のモジュールローダー(apr_dso_load)にフックを仕掛けることでApacheのPHPモジュールを標的にし、PHPウェブシェルをメモリ内に注入します」
このルートキットはApacheと共に起動し、第2段階のインプラントがPHPのファイル操作を傍受してメモリ内でこれを改変することで、正規のスクリプト(例:apm_css.php3、full_wt.php3、webtop_popup_css.php3)の中にウェブシェルを隠します。
Sophosによれば、これらのスクリプトが標的として選ばれたのは、BIG-IP APMのwebtop環境に存在しており、かつセキュリティ警告の発生確率が低いためだと考えられます。加えて、ディスク上のPHPファイル自体は変更されないままなので、検出される可能性が大幅に低減されます。
注入されたウェブシェルは、特殊な形式(「マジック」)のリクエストを受け付け、その内容を復号してPHPのeval()関数で実行し、CSSコンテンツを装ったHTTP 201レスポンスを返します。
Sophosは、Apacheの起動時にローカルバックドアの生成を遅延させる保護機構についても指摘しており、これによりサービス停止や検出のリスクを低減しているといいます。
「Apacheプロセスが通常の時刻呼び出しを開始すると、インプラントはローカルUNIXソケットバックドアの作成を担うワーカースレッドを生成し、デタッチします」とSophosは説明しています。
「このタイミング調整により、サービスを不安定化させるリスクが最小限に抑えられ、インプラントが通常のランタイム動作に紛れ込みやすくなります」
このルートキットはまた、パスワードで保護されたローカル通信用ソケットも作成し、TCPのリスニングポートを開くことなくインタラクティブなBashシェルを起動できるようにします。
このソケットはインターネットに直接公開されているわけではないため、攻撃者がアクセスするには当該デバイス上に別の足掛かりが必要になります。ただし、Sophosはこのソケットとの通信に使われるコンポーネントは特定できていません。
このセキュリティ企業は、このマルウェアに関連する悪意ある活動の兆候として、Apacheのワーカーが/proc/self/mapsを読み取ること、libphpのメモリ保護属性を変更すること、/run/bigtlog.pipeを作成すること、/bin/bashを起動することなどを挙げています。
防御担当者に対しては、標的となっている.php3エンドポイントへの不審なPOSTリクエストや、HTTP 201とtext/cssのコンテンツタイプを組み合わせたPHPレスポンスを調査することも推奨されています。
CVE-2025-53521の脆弱性を抱えるF5 BIG-IP APMシステムを追跡するトラッカーを提供しているShadowServer Foundationによると、昨日の時点で795台のエンドポイントがオンライン上に公開されていたと報告されています。
