Se detectó un malware en dispositivos F5 BIG-IP APM que oculta una web shell directamente en la memoria, evitando así la detección mediante el escaneo de archivos en disco. Esta amenaza aprovecha la vulnerabilidad CVE-2025-53521 para ejecutar código remoto y permite a los atacantes controlar el sistema. Se recomienda aplicar los parches disponibles y realizar verificaciones de integridad, ya que la actualización por sí sola podría no eliminar la infección existente.

El malware vinculado a intrusiones en los dispositivos F5 BIG-IP Access Policy Manager oculta una shell web PHP en la memoria en lugar de en un archivo en el disco, según informó Sophos en un análisis publicado el 7 de septiembre.

Cuando Apache carga cualquiera de los tres scripts PHP propios del dispositivo, el malware añade la shell web a la copia mantenida en memoria, por lo que una comprobación del archivo en el disco puede dar un resultado limpio. Esos tres scripts son los mismos a los que F5 remitió a los clientes en marzo, cuando afirmó que los cambios en ellos por sí solos no demuestran una intrusión.

Una shell web suele ser un script pequeño que un atacante deposita en las carpetas de un servidor web para ejecutar comandos a través de solicitudes web ordinarias. Debido a que reside en el disco, los defensores la buscan escaneando archivos y comparándolos con copias conocidas como seguras.

Ese enfoque no funciona aquí. Como indican los investigadores, la shell web "no necesita existir en su forma final en el disco".

Los tres scripts son apm_css.php3, full_wt.php3 y webtop_popup_css.php3, parte del webtop de BIG-IP APM. F5 mencionó los tres en marzo en una lista publicada de indicadores de compromiso [https://my.f5.com/manage/s/article/K000160486] para el malware que rastrea como c05d5254, y dijo en aquel momento que su sola presencia no indicaba un problema de seguridad.

F5 también afirmó haber visto casos en los que una shell web se escribía en el disco, pero que se ha observado que las shells web "funcionan solo en memoria", lo que significa que los archivos enumerados podrían no estar modificados. El análisis de Sophos [https://www.sophos.com/en-us/blog/dissecting-a-php-web-server-rootkit] explica cómo ambas afirmaciones pueden ser ciertas a la vez.

Sophos examinó una sola muestra. Su análisis no menciona a ninguna víctima ni dice cómo se obtuvo la muestra.

F5 ha vinculado la actividad de c05d5254 a dispositivos afectados por el CVE-2025-53521, dijo Sophos. F5 publicó primero ese fallo [https://nvd.nist.gov/vuln/detail/CVE-2025-53521] el 15 de octubre de 2025, como un problema de denegación de servicio.

El 27 de marzo de 2026, F5 dijo que nueva información le había llevado a reclasificar el fallo como ejecución remota de código, y que había sido explotado. Un atacante no necesita iniciar sesión para usarlo, y F5 lo califica con 9.8 en CVSS 3.1 y 9.3 en CVSS 4.0.

CISA lo añadió a su catálogo de Vulnerabilidades Explotadas Conocidas el mismo día, dando a las agencias civiles federales de EE. UU. hasta el 30 de marzo para actuar.

El fallo se aplica donde se configura una política de acceso BIG-IP APM en un servidor virtual. El Centro Nacional de Ciberseguridad del Reino Unido califica al BIG-IP APM como un componente común, especialmente en organizaciones grandes. El aviso de F5 [https://my.f5.com/manage/s/article/K000156741] enumera las versiones afectadas y corregidas.

Versiones conocidas como vulnerables: 17.5.0 - 17.5.1 (Corregido en 17.5.1.3); 17.1.0 - 17.1.2 (Corregido en 17.1.3); 16.1.0 - 16.1.6 (Corregido en 16.1.6.1); 15.1.0 - 15.1.10 (Corregido en 15.1.10.8).

El parche que corrige esto tiene casi un año. El Centro Nacional de Ciberseguridad de Irlanda dijo en un aviso del 31 de marzo [https://ncsc.gov.ie/pdfs/2603311419_CVE-2025-53521.pdf] que el parche publicado en octubre sigue siendo válido y protegerá contra la explotación.

La shell web es el último paso de una cadena más larga, y los pasos anteriores sí tocan el disco. Sophos dijo que un instalador separado, encontrado en una muestra llamada umount, infecta el programa del servidor web Apache en /usr/sbin/httpd añadiendo código malicioso al principio del archivo real. El tamaño de ese código añadido coincide con la carga transportada dentro del instalador, lo que Sophos afirma que sugiere fuertemente que el instalador lo colocó allí.

ESET, que analizó muestras relacionadas en abril [https://infosec.exchange/@ESETresearch/116460555146536345] y llamó al malware PoisonedRefresh, dijo que el instalador está destinado a ejecutarse como root y desactiva SELinux. También infecta umount, httpd y rc.local dentro de las imágenes de instalación de BIG-IP, lo que ESET dijo que presumiblemente se hizo para propagar el malware a otros sistemas a través del medio de instalación.

Debido a que el malware reside dentro del programa Apache, se ejecuta antes de que comience el propio código de Apache. Sophos dijo que engancha una función de Apache Portable Runtime, apr_dso_load, y no hace nada hasta que Apache carga el módulo PHP, libphp.

Una vez cargado PHP, el malware lee /proc/self/maps para encontrar el módulo en memoria, hace brevemente que esas páginas de memoria sean escribibles, reescribe las llamadas que el módulo utiliza para abrir, dimensionar y mapear archivos, y luego restaura los permisos originales. A partir de ese momento, controla lo que PHP ve cuando abre uno de los tres scripts. Cuando el archivo se mapea en memoria, el malware coloca la shell web delante del contenido original.

La shell web lee el cuerpo bruto de una solicitud, lo comprueba en busca de un marcador corto, descifra el resto y lo ejecuta. Responde con el estado HTTP 201 y un tipo de contenido CSS, por lo que el intercambio parece una solicitud de una hoja de estilos.

El malware también abre un socket local en /run/bigtlog.pipe. Después de verificar un token fijo, conecta ese socket a /bin/bash, proporcionando una shell interactiva sin abrir un puerto de red.

Sophos dijo que no pudo encontrar ningún código en la muestra para conectarse a ese socket, ni otro uso del token, por lo que las dos vías de entrada parecen funciones separadas. No tiene pruebas sobre si el atacante llega al socket a través de la shell web.

Qué puedes comprobar como defensor

Sophos dijo que sus señales conductuales son pistas para investigar, no pruebas por sí solas, y deben leerse junto con la evidencia de archivos, procesos y memoria. La siguiente lista las combina con los indicadores que F5 publicó en marzo.

* Archivo: /run/bigtlog.pipe o /run/bigstart.ltm presente
* Binario: discordancia de hash, tamaño o marca de tiempo en /usr/bin/umount o /usr/sbin/httpd frente a una copia conocida como buena. F5 señala que los tamaños y marcas de tiempo difieren entre versiones y correcciones rápidas de ingeniería
* Herramienta: fallo de sys-eicheck porque uno de esos dos archivos ha cambiado
* Log: una entrada en /var/log/restjavad-audit que muestra a un usuario local accediendo a la API REST de iControl desde localhost
* Log: una entrada en /var/log/auditd que muestra la desactivación de SELinux por la misma ruta
* Log: una entrada en /var/log/audit que muestra un comando bash ejecutado a través de iControl REST. F5 dice que estas líneas muestran datos base64 escritos en un archivo y la ejecución de /run/bigstart.ltm
* Tráfico: respuestas HTTP 201 que transportan un tipo de contenido CSS desde el dispositivo
* Comportamiento del host: un trabajador de Apache leyendo /proc/self/maps, cambiando permisos de memoria alrededor de libphp, vinculando un socket bajo /run, o iniciando /bin/bash
* SHA-256: 26bd5b0722d1dbab5db749a063c49bc8638653ac2addfead7a9cb3d6d57bccc9
* Archivo, débil por sí solo: cambios en los tres scripts .php3. F5 dice que su sola presencia no muestra un problema, y el análisis de Sophos explica por qué: el archivo no tiene que cambiar en absoluto

La lista de F5 también incluye elementos que el análisis de Sophos no cubre, entre ellos /run/bigstart.ltm y los cambios que afectan a sys-eicheck. Ninguno de los dos relatos describe la intrusión completa.

Si ya has aplicado el parche

Aplicar el parche no determina si un dispositivo fue comprometido antes de que se instalara el parche.

El NCSC de Irlanda dijo que no hay un cronograma disponible para la explotación, y que espera que alguna explotación haya estado ocurriendo o pudiera haber ocurrido antes de que el fallo y su corrección se publicaran por primera vez en octubre de 2025.

El NCSC del Reino Unido aconseja investigar si hubo un compromiso "independientemente de cuándo se actualizó el sistema".

1. Ejecuta la comprobación de integridad sys-eicheck integrada de F5. Los propios indicadores de F5 dicen que los cambios en /usr/bin/umount y /usr/sbin/httpd hacen que esta herramienta falle, por lo que un fallo es en sí mismo la señal.
2. Recopila un informe qkview, envíalo a F5 y abre un caso. El NCSC de Irlanda dijo que F5 puede revisar ese informe en busca de signos de compromiso, y que abrir un caso asociado conlleva una respuesta más rápida y completa.
3. Compara el contenido de los módulos en memoria frente a las copias en disco, lo cual Sophos recomienda añadir a los manuales de respuesta a incidentes para servidores web críticos.
4. Cuando no sea posible una investigación completa, el NCSC del Reino Unido [https://www.ncsc.gov.uk/news/vulnerability-affecting-f5-big-ip-apm] aconseja aislar el dispositivo y reconstruirlo como nuevo, y advierte que esto puede causar una interrupción del servicio.

Tres cosas siguen siendo desconocidas. F5 no ha dicho cuándo comenzó la explotación.

Ninguno de los avisos o análisis publicados indica si la actualización de un dispositivo a una versión corregida elimina el malware ya instalado en él, y tanto Sophos como ESET describen un componente diseñado para sobrevivir a las imágenes de actualización.

Y nadie ha nombrado a un atacante: Sophos dijo que no tiene pruebas suficientes para nombrar a un grupo, y ESET dijo en abril que tampoco había resuelto la cuestión.

Fuente:
THN