Biztonsági kutatók egy rendkívül trükkös kártevőt fedeztek fel F5 BIG-IP Access Policy Manager (APM) rendszerekben, amely úgy hoz létre webshellt, hogy közben egyetlen fájlt sem ír a lemezre. A „PoisonedRefresh” névre keresztelt kártevő a memóriában rejtőzik, ezért a hagyományos víruskeresők és fájlalapú ellenőrzések szinte esélytelenek vele szemben.

Az F5 BIG-IP olyan hálózati eszköz, amelyet nagyvállalatok és intézmények használnak a webes forgalom irányítására, terheléselosztására és biztonságos távoli hozzáférés biztosítására. Az APM modul azt szabályozza, hogy ki léphet be a belső rendszerekbe, és milyen jogosultságokkal. Ez a szerepkör teszi az APM-et különösen vonzó célponttá.

A támadás kiindulópontja a CVE-2025-53521 azonosítójú hiba, amely az apmd folyamatot érinti, ha egy virtuális szerveren APM hozzáférési szabályzat van beállítva. A sérülékenységet eredetileg 2025 októberében szolgáltatás megtagadásos hibaként azonosították, majd 2026 márciusában az F5 új információk alapján kritikus, hitelesítés nélkül kihasználható távoli kódfuttatási hibává minősítette át. A CVSS-pontszáma 9,8 (v3.1 szerint), illetve 9,3 (v4.0 szerint), az amerikai CISA már 2026. március 27-én felvette a hibát az aktívan kihasznált sebezhetőségek listájára.

A hibás verziók a 15.1, 16.1, 17.1 és 17.5-ös APM ágakat érintik; a javított kiadások a 15.1.10.8, 16.1.6.1, 17.1.3 és 17.5.1.3 verziószámoktól kezdve érhetők el. A ShadowServer Foundation nyilvántartása szerint a cikk megjelenésekor még mindig 795 sebezhető APM végpont volt elérhető az internetről.

A Sophos kutatói egy kétlépcsős fertőzési láncot azonosítottak. Az első fázisban egy telepítő vagy terjesztő komponens fertőzi meg magát az Apache webszerver /usr/sbin/httpd állományát a BIG-IP APM rendszeren. Ez a komponens nemcsak a futtatható fájlt módosítja, hanem átírja a SELinux biztonsági beállításokat is, és gondoskodik arról, hogy a kártevő még egy rendszerfrissítés után is a gépen maradjon.

A második fázis maga a rootkit, amely a rendszerindítás egy nagyon korai pontján, még a fő program elindulása előtt szerez futási jogot azáltal, hogy “elkapja” a __libc_start_main nevű alacsony szintű rendszerfüggvényt. Ezután az Apache Portable Runtime modulbetöltő függvényét (apr_dso_load) manipulálva befészkeli magát a PHP modulba, és egy PHP webshellt injektál közvetlenül a memóriába.

A kártevő több trükköt is bevet a rejtőzködéshez. A működéséhez szükséges fontos szövegrészleteket RC4 titkosítással rejti el, hogy elemzéskor ne legyenek egyből olvashatók. A webshell kódját olyan, valóban létező PHP fájlokba rejti bele futásidőben, amelyek egyébként is jelen vannak a BIG-IP APM felhasználói felületén, ezért kevésbé keltenek gyanút. A lemezen lévő fájlok tartalma nem változik, a módosítás csak a memóriában történik, így egy hagyományos fájlintegritás-ellenőrzés semmit nem talál. A backdoor nem azonnal, hanem az Apache elindulása után egy késleltetéssel jön létre, éppen akkor, amikor a folyamat elkezdi a megszokott időlekérdezéseit végezni. Ezzel próbál belesimulni a normál működésbe, és elkerülni, hogy a hirtelen aktivitás gyanút keltsen.

Mit tud csinálni a támadó a bejutás után?

A rejtett webshell speciálisan formázott kéréseket fogad. Ezeket a bejövő kéréseket dekódolja, majd PHP eval() függvénnyel lefuttatja a bennük lévő kódot, a válaszban pedig egy HTTP 201-es állapotkódot küld vissza, amelyet szöveges/CSS-tartalomnak álcáz. Emellett a kártevő létrehoz egy jelszóval védett, helyi UNIX socketet is, amelyen keresztül a támadó interaktív Bash parancssort tud indítani anélkül, hogy bármilyen hálózati portot nyitva kellene tartania.

A Sophos konkrét jeleket is közölt, amelyek árulkodóak lehetnek egy fertőzött rendszeren:

• Apache munkafolyamatok, amelyek a /proc/self/maps fájlt olvassák.
• A libphp memóriavédelmi beállításainak (jogosultságainak) váratlan megváltozása.
• A /run/bigtlog.pipe nevű fájl létrejötte.
• /bin/bash folyamat indítása az Apache-hoz kapcsolódóan.
• Szokatlan POST-kérések, illetve olyan HTTP-válaszok, amelyek 201-es státuszkódot adnak vissza, de közben text/css tartalomtípust jeleznek.

Mit tehetnek az érintett üzemeltetők?

A legfontosabb és legsürgősebb lépés a CVE-2025-53521 javításának telepítése azokon a BIG-IP APM rendszereken, ahol még nem történt meg. Az F5 hivatalosan is megerősítette, hogy a hibát éles támadásokban webshellek telepítésére használják. Mivel a rootkit a frissítési képfájlokba is beépül, egy egyszerű szoftverfrissítés önmagában nem feltétlenül távolítja el a már bekerült kártevőt; ilyen gyanú esetén érdemes az F5 vagy a Sophos által közölt indikátorok (IOC-k) alapján alaposabb vizsgálatot végezni, és szükség esetén a rendszert tiszta állapotból újratelepíteni. Az internetről közvetlenül elérhető APM felületek számának csökkentése és a hozzáférés szigorú korlátozása szintén jelentősen csökkenti a kockázatot, hiszen a sebezhetőség kihasználásához a támadónak el kell érnie a virtuális szervert.

(forrás)