Škodlivý kód spojený s průniky do zařízení F5 BIG‑IP Access Policy Manager neukládá svůj PHP webshell do souboru na disku, ale skrývá jej v operační paměti. Upozornila na to analýza zveřejněná 7. září 2026.
Když Apache načte kterýkoli ze tří vlastních PHP skriptů daného zařízení, malware přidá webshell do kopie uložené v paměti. Kontrola souboru na disku tak může dopadnout čistě. Právě na tyto tři skripty odkázala firma F5 zákazníky už v březnu, kdy uvedla, že jejich samotná změna průnik neprokazuje. Webshell je obvykle malý skript, který útočník vloží do složek webového serveru, aby přes běžné webové požadavky spouštěl příkazy. Protože leží na disku, obránci jej hledají skenováním souborů a porovnáváním s ověřenými kopiemi. Tady tento postup nefunguje. Jak to formulovali výzkumníci, webshell „nemusí ve své finální podobě na disku vůbec existovat.“
Zmíněné tři soubory jsou apm_css.php3, full_wt.php3 a webtop_popup_css.php3, součásti komponenty BIG‑IP APM webtop. F5 všechny tři uvedla v březnu ve zveřejněném seznamu indikátorů kompromitace pro malware, který sleduje pod označením c05d5254, a tehdy dodala, že jejich pouhá přítomnost na bezpečnostní problém neukazuje. F5 zároveň připustila, že viděla případy, kdy byl webshell zapsán na disk, ale že tyto webshelly „byly pozorovány pouze při běhu v paměti.“ Analýza Sophosu vysvětluje, jak mohou být obě tvrzení pravdivá současně. Sophos přitom zkoumal jediný vzorek, jeho analýza nejmenuje žádnou oběť ani neuvádí, jak byl vzorek získán.
Zranitelnost a co mohou obránci prověřit
F5 spojila aktivitu c05d5254 se zařízeními zasaženými zranitelností CVE‑2025‑53521. Tu poprvé zveřejnila 15. října 2025 jako problém typu odepření služby, 27. března 2026 ji však na základě nových informací překlasifikovala na vzdálené spuštění kódu a oznámila, že již byla zneužita. Útočník nepotřebuje žádné přihlášení a F5 zranitelnost hodnotí 9,8 na škále CVSS 3.1 a 9,3 na CVSS 4.0. Americká agentura CISA ji téhož dne zařadila do katalogu známých zneužívaných zranitelností a federálním civilním úřadům dala na nápravu čas do 30. března. Oprava, která problém řeší, je stará téměř rok — irské národní kyberbezpečnostní centrum v poradenství z 31. března uvedlo, že záplata vydaná v říjnu stále platí a před zneužitím chrání.
Webshell je posledním krokem delšího řetězce a dřívější kroky se disku dotýkají. Sophos uvedl, že samostatný instalátor, nalezený ve vzorku nazvaném umount, infikuje program webového serveru Apache v /usr/sbin/httpd tak, že škodlivý kód vloží před samotný soubor. Firma ESET, která příbuzné vzorky analyzovala v dubnu a malware pojmenovala PoisonedRefresh, popsala, že instalátor je určen ke spuštění pod uživatelem root a vypíná SELinux. Protože malware sídlí uvnitř programu Apache, spouští se dříve než jeho vlastní kód: napojí se na funkci apr_dso_load a nedělá nic, dokud Apache nenačte PHP modul libphp. Poté malware přečte /proc/self/maps, na okamžik zapisovatelnými udělá paměťové stránky modulu, přepíše volání pro otevírání, měření velikosti a mapování souborů a nakonec obnoví původní oprávnění. Od té chvíle řídí, co PHP vidí při otevření jednoho ze tří skriptů. Webshell čte tělo požadavku, hledá krátkou značku, zbytek dešifruje a spustí; odpovídá stavem HTTP 201 a typem obsahu CSS, takže výměna vypadá jako žádost o šablonu stylů. Malware také otevírá lokální socket na /run/bigtlog.pipe a po ověření pevného tokenu jej napojuje na /bin/bash, čímž poskytuje interaktivní shell bez otevření síťového portu.
Mezi signály, které mohou obránci prověřit, patří přítomnost souboru /run/bigtlog.pipe nebo /run/bigstart.ltm, nesoulad hashe, velikosti či časového razítka u /usr/bin/umount a /usr/sbin/httpd oproti ověřené kopii, selhání nástroje sys‑eicheck, záznamy v logu auditu o vypnutí SELinuxu nebo o příkazu bash spuštěném přes iControl REST, odpovědi HTTP 201 s typem obsahu CSS a chování, kdy pracovní proces Apache čte /proc/self/maps nebo spouští /bin/bash. Kdo už zařízení opravil, měl by přesto prověřit, zda nebylo kompromitováno ještě před nasazením záplaty; britské NCSC doporučuje vyšetřování „bez ohledu na to, kdy byl systém aktualizován.“ Otevřené zůstávají tři otázky: F5 neuvedla, kdy zneužívání začalo, žádné poradenství neříká, zda upgrade na opravené vydání odstraní již nainstalovaný malware, a nikdo zatím útočníka nepojmenoval.
Zdroj: thehackernews.com
