Sophosによると、侵害されたF5 BIG-IP APM機器で発見されたルートキットは、通常のWebシェルをディスクに書き込むという手順を踏まず、代わりにメモリ内に隠蔽するとのことです。
F5 BIG-IP APMは、アプリやAPI、データへのアクセスを保護するためのアクセスポリシー適用機能を提供する製品です。主に企業、金融機関、政府機関、公共機関で利用されています。
「このインプラントがもたらす結果自体は、Webシェルに一般的に見られるオンデマンドのサーバーサイドコード実行と変わりません。しかし、その実装にはより深いLinuxおよびApache固有の手口が使われています」とSophosは述べています。
「このマルウェアは、Apache、libphp、APRモジュールの読み込み、BIG-IP APMのwebtopコンポーネント、BIG-IPのアップグレードワークフローを備えた展開環境を標的としており、特定の環境向けに開発されたことがうかがえます」と同社は付け加えています。
F5は、関連する攻撃活動をCVE-2025-53521に関連付けています。これはBIG-IP APMにおける認証不要のリモートコード実行の脆弱性で、すでに実際の攻撃で悪用されています。
Sophosのチームがこのサンプルを詳しく調査する過程で、ESETがすでに同一のマルウェアを調査済みで、「PoisonedRefresh」という名称を付けていたことが判明しました。
メモリ内に存在するWebシェル
Sophosによると、今回分析されたマルウェアは第2段階のペイロードにあたります。「umount」と呼ばれる関連サンプルを並行して分析したところ、研究者らは/usr/sbin/httpdにあるApacheバイナリへの感染、BIG-IPのアップグレードイメージ間での永続化、SELinux設定の変更、そして第2段階ペイロードの展開を担う別個のインストーラーコンポーネントを特定しました。
「この第2段階のサンプルは、RC4を用いて主要な動作用文字列を隠蔽しています。また、__libc_start_mainをフックすることでホストアプリケーションのmain()関数が呼び出される前に実行権を獲得し、Apache Portable Runtime(APR)のモジュールローダー(apr_dso_load)をフックしてApacheのPHPモジュールを標的にし、PHPのWebシェルをメモリ内に注入します」
Apacheが一旦PHPを読み込むと、この第2段階インプラントはPHPのファイル操作を横取りし、apm_css.php3、full_wt.php3、webtop_popup_css.php3といった正規のスクリプト内にWebシェルを隠すため、それらをメモリ上で書き換えます。
Sophosによれば、これらのファイルが選ばれたのは、BIG-IP APMのwebtop環境において一般的に存在し、注意を引きにくいためだと考えられます。ディスク上のファイル自体は変更されないままなので、ファイルベースのスキャンで検出できる範囲は限られてしまいます。
「PHPがこれらのファイルのいずれかを開くと、インプラントはそのファイルディスクリプタを記録します。そのファイルが続けてメモリマップされると、インプラントは埋め込まれたWebシェルと元のスクリプトの内容の両方を含む、改変済みのメモリ内ビューを作成します。ディスク上のファイルが最終的なWebシェルの内容を含んでいる必要は一切なく、実行はインプラントが実行時に作成した改変済みのメモリ内表現に従って行われます」と研究者らは説明しています。
シェルへの第2の経路
Webシェルに加えて、このマルウェアは/run/bigtlog.pipeにUnixドメインソケットを設置します。簡単なトークンチェックの後、このソケットへの接続はそのまま/bin/bashに引き渡され、攻撃者は対話型シェルを得ることができます。ネットワークリスナーではなくローカルソケットであるため、リッスン中のTCPポートとしては表示されず、開いているTCPポートのみを監視するネットワーク監視でも検知されません。
研究者らは、攻撃者がこのソケットに外部からアクセスできるようにするコードをサンプル内に見つけられませんでした。そのため、この2つのアクセス手段がどのように連携する想定なのか、あるいはWebシェルが間接的にこのソケットへ到達するために使われるのかどうかは明らかになっていません。
防御側が確認すべきポイント
Sophosは、Apacheサーバー上で確認すべきいくつかの兆候を挙げています。具体的には、前述の3つの.php3ファイルへのリクエスト、CSSコンテンツを提供していると称しながらHTTPステータス201を返すPHPエンドポイント、そして/proc/self/mapsを読み取った直後にメモリ権限を変更するApacheワーカープロセスなどです。
また、必要のない場面では.php3の実行をブロックすることも提案していますが、BIG-IP APMシステムの管理者は、こうした変更を行う前にF5のガイダンスに従うべきだとしています。
Sophosはさらに、プロセスが検査・操作される他の経路を減らすため、ptraceアクセスを制限することも推奨していますが、これによってインプラントのプロセス内での挙動を必ずしも止められるわけではないとも指摘しています。
「関連するumountおよび感染したhttpdサンプルの分析に基づくと、この攻撃キャンペーンは段階的なアーキテクチャを採用していると評価しています」
「おそらく最も重要な発見は、Webシェルがディスク上に最終形態で存在する必要が一切ないという点です。代わりに、インプラントは標的となるPHPファイルが実行中のプロセスにどう見えるかを改変します。つまり、Apacheおよびpythonが目にする内容は、従来のファイルベースの検査で見える内容とは異なる場合があるということです。その結果、ファイルシステムのみに注目する対応者は、重要な証拠を見落とす可能性があります」とSophosは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/09/09/f5-big-ip-apm-rootkit-hides-web-shell-in-memory/
