BIG-IP APMシステムを侵害することで、攻撃者は認証情報やSSOトークン、下流アプリケーションへの信頼された経路にアクセスできる可能性があります。
新たに解析されたLinuxルートキットは、最近侵害されたF5 BIG-IP Access Policy Management(APM)環境において、悪意のあるPHPコードをディスク上に残すことなく、攻撃者がシェルを隠す手段を提供していたとみられています。
Sophosによると、このマルウェアはApacheとPHPコンポーネントを使用する侵害済みのBIG-IP APM環境で発見されたもので、カスタムELFローディングや関数フッキング、実行時コードパッチといった手法を用いて永続的なアクセスを確立します。同社がブログ投稿で述べたところによると、このインプラントは汎用的なApacheやPHPへの攻撃というよりも、BIG-IP APMのWebtop環境に特化して作られているように見えるとのことです。
この一連の活動は、アクセスポリシーが仮想サーバー上に設定されている場合にBIG-IP APMに影響を及ぼす、未認証のリモートコード実行(RCE)脆弱性であるCVE-2025-53521の悪用と関連付けられています。
Sophosによれば、今回発見・解析されたサンプルは第2段階のペイロードであり、以前に特定されていたコンポーネントがApacheの「httpd」プロセスへの感染とこのペイロードの展開を担っているとのことです。
Webシェルは実体を持つファイルではない
Sophosの分析は、このマルウェアがどのようにWebシェルを展開するかという点に焦点が当てられています。
このインプラントは、不審なPHPファイルをサーバー上に設置するのではなく、ApacheのPHPロード処理をフックし、選択したPHPファイルが実行中のプロセスに提示される方法自体を改変します。Sophosは、BIG-IP APMのWebtop環境で使用される3つのPHPファイルが具体的な標的になっていることを突き止めました。
これらのファイルには、「apm_css.php3」「full_wt.php3」「webtop_popup_css.php3」が含まれます。
PHPが通常のPHPランタイム処理の一環としてこれらファイルの1つをメモリマップしようとすると、ルートキットはその処理を横取りし、正規のスクリプトと並行して悪意のあるWebシェルを含む改変版をメモリ上に生成します。ディスク上のファイル自体は変更されません。
この手法により、従来型のWebシェル検知ツールではほぼ検出できなくなります。ファイルシステムをスキャンすれば完全に正規のPHPファイルが表示される一方で、Apacheプロセスはメモリ上で改変版を実行しているのです。
「ここで重要なのは、単にWebシェルの隠密性が高まったということだけではありません」と、BeyondTrustの最高情報セキュリティ責任者であるSean Malone氏は述べています。「ほとんどのインシデント対応の手順書が前提としている、『ディスク上のファイルを見ればサーバーが何を実行しているか分かる』という仮定そのものを打ち破ってしまう点が問題なのです」
Malone氏によると、このマルウェアは実行中のApacheプロセス内でのみ、正規の3つのBIG-IPファイルを汚染したコピーとして提供するため、ハッシュ値は一致し、ファイル完全性監視も通過してしまい、システムが乗っ取られている間もサーバーは一見正常に見えてしまうといいます。
このインプラントはまた、通常のTCPリスナーを開く代わりに、ローカルのUNIXソケットを通じて第2のアクセス経路も確立します。認証後には、このソケットを通じて対話的な「/bin/bash」セッションを提供でき、一部のネットワークベースの検知を回避しながら攻撃者にシステムへの別の侵入経路を与えます。
Sophosは、これらの手法の組み合わせにより、ファイル中心やPHPのみを対象とした監視では検出が困難なWebシェル機能が実現されていると指摘しています。
侵害によりIDゲートウェイが危険にさらされる可能性
その影響はF5アプライアンス自体にとどまりません。
「BIG-IP APMへのアクセス権を得た攻撃者は、SSOトークンや認証情報を傍受し、ポリシー判定に介入し、ユーザートラフィックを監視し、さらにはそのアプライアンスを信頼する下流のアプリケーションやSaaSテナントへ横展開することが可能になります」と、ColorTokensのチーフエバンジェリストであるAgnidipta Sarkar氏は述べています。
Sarkar氏は、BIG-IP APMが大企業や金融機関、公共部門の組織において、内部アプリケーションやAPI、クラウドサービスへのリモートアクセスおよびフェデレーションSSOを提供するために一般的に導入されていると指摘します。これらのアプライアンスはネットワーク境界に配置され、認証情報やセッショントークンを処理し、TLSを終端することから、特に価値の高い標的になっているといいます。
防御側への対応として、Sarkar氏はパッチ適用前に脆弱な状態だったシステムを調査するよう推奨しています。修正を適用したからといって、それ以前の侵害の可能性が排除されるわけではないためです。また同氏は、ファイルスキャンだけではルートキットのメモリ上での活動を見逃す可能性があることから、F5の侵害指標(IoC)とメモリおよび挙動ベースのテレメトリを組み合わせることも推奨しています。
Shwetaは2017年以降、エンタープライズテクノロジーについて執筆しており、直近ではCSO onlineでサイバーセキュリティを担当しています。ランサムウェアからゼロトラストアーキテクチャに至るまでの複雑なトピックを、専門家にも一般読者にも分かりやすく解説しています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得しており、サイバー脅威の解読で忙しくない時には、フィクションを読んだり、映画を観たり、新しいレシピに挑戦したりすることを楽しんでいます。
