Malware trên F5 BIG-IP APM ẩn web shell PHP trong bộ nhớ
"Sophos reported malware associated with F5 BIG-IP APM compromises that injects a PHP web shell into Apache/PHP memory at runtime, allowing it to evade disk-based file scans. The activity is linked to CVE-2025-53521, which F5 reclassified from denial-of-service to remote code execution and for which fixed releases are available in BIG-IP 15.1.10.8, 16.1.6.1, 17.1.3, and 17.5.1.3. The malware also includes persistence and access features such as modifying Apache binaries, disabling SELinux, and exposing a local socket-backed bash shell."
Rủi ro thực thi mã từ xa, ẩn trong bộ nhớ và có thể duy trì truy cập sau xâm nhập. Các hệ thống BIG-IP APM chưa vá cần được xem là ưu tiên cao.
Có thể ảnh hưởng đến dịch vụ truy cập ứng dụng, tính sẵn sàng và công tác ứng cứu sự cố. Việc xác minh và vá lỗi có thể cần dừng bảo trì hoặc thay đổi cấu hình.
Sophos cho biết mã độc liên quan đến các vụ xâm nhập F5 BIG-IP APM có thể chèn PHP web shell vào bộ nhớ Apache/PHP khi chạy, thay vì lưu trên đĩa. Cách này giúp nó né quét file trên disk và làm cho việc kiểm tra tệp gốc có thể vẫn cho kết quả sạch.
Hoạt động này được gắn với CVE-2025-53521, lỗ hổng đã được F5 phân loại lại từ DoS sang RCE sau khi có thêm thông tin về việc bị khai thác. F5 đã phát hành bản vá cho các nhánh 15.1.10.8, 16.1.6.1, 17.1.3 và 17.5.1.3. Theo mô tả, lỗ hổng ảnh hưởng đến các hệ thống có BIG-IP APM access policy gắn trên virtual server.
Ngoài cơ chế trong bộ nhớ, mẫu mã độc còn có dấu hiệu duy trì hiện diện như sửa Apache binaries, tắt SELinux và mở một bash shell qua socket cục bộ. Với đội vận hành, cần ưu tiên kiểm tra phiên bản, đối chiếu IOC do F5 công bố, rà soát /run/bigtlog.pipe hoặc /run/bigstart.ltm, và xác minh tính toàn vẹn của /usr/sbin/httpd cùng /usr/bin/umount. Nếu chưa vá, nên nâng cấp ngay và điều tra thêm bằng log, tiến trình và dấu vết trong bộ nhớ.