Analistas de segurança identificaram um rootkit furtivo de Linux que oferece aos invasores uma nova maneira de manter o controle sobre servidores comprometidos de F5 BIG-IP Access Policy Manager. Em vez de deixar arquivos maliciosos óbvios no disco, o malware injeta shells web PHP diretamente na memória do processo do servidor em execução, dificultando drasticamente a detecção por scanners tradicionais.
Detecção técnica e funcionamento do rootkit
O implante opera interceptando rotinas de inicialização do Linux antes que o programa principal alcance sua função normal. Ele carrega manualmente o executável original e armadilha a rotina de início do núcleo, permitindo que o malware estabeleça armadilhas antes que a atividade normal do Apache comece. O rootkit monitora o carregador de módulos do Apache e ativa-se apenas quando o componente PHP, libphp, aparece no ambiente.
Injeção de shell web em memória
Três scripts webtop do APM são os alvos principais. Quando o PHP mapeia um desses scripts para a memória, o rootkit constrói uma cópia modificada que contém o conteúdo original mais o shell web injetado. O arquivo no disco permanece inalterado, o que significa que verificações baseadas apenas em arquivos raiz da web podem perder a intrusão. O código injetado aceita requisições especialmente formadas, descriptografa seus conteúdos e os executa no servidor.
Backdoor de socket e persistência
O implante também cria um socket Unix local e pode entregar uma conexão autenticada a um shell Bash. Como este canal não abre uma porta de escuta TCP normal, o monitoramento baseado apenas em rede pode não vê-lo. A descoberta adiciona contexto a relatórios de atacantes usando um appliance BIG-IP para acesso SSH e movendo-se mais profundamente nas redes empresariais. A persistência pode sobreviver a reinicializações de serviço se o mecanismo de instalação infectar binários ou imagens de upgrade.
Indicadores de comprometimento (IoCs)
Os analistas listaram diversos indicadores técnicos para auxiliar na investigação, incluindo hashes SHA-256 de amostras do rootkit, nomes de arquivos específicos como apm_css.php3 e full_wt.php3, e marcadores de requisição únicos. A presença de sockets locais inesperados, processos filhos iniciando Bash e mudanças em configurações SELinux também são sinais de alerta importantes para equipes de SOC.
Implicações para governança de segurança
Este incidente destaca a necessidade de monitoramento de integridade de memória e não apenas de arquivos. Para organizações que usam BIG-IP APM para acesso remoto, a lacuna entre a verificação de disco e o estado real da memória pode dar a um intruso controle duradouro do lado do servidor. A conformidade com regulamentos como LGPD pode ser impactada se dados sensíveis forem exfiltrados através deste canal oculto.
Passos de resposta e recuperação
Organizações que suspeitam de comprometimento devem preservar evidências voláteis antes de alterar o host, incluindo memória de processo e detalhes de processos em execução. É recomendado seguir as orientações de remediação da F5 para versões afetadas do APM antes de aplicar alterações genéricas no Apache ou PHP. Desabilitar a execução de PHP legado desnecessário pode reduzir a exposição, mas a verificação de imagens de upgrade e revisão de SELinux são cruciais para remover a persistência.
Perguntas frequentes
- É necessário reiniciar o serviço? Não necessariamente; o mecanismo de persistência pode sobreviver ao reinício se estiver infectando binários ou imagens.
- Como detectar o shell web? Verifique respostas HTTP 201 apresentadas como recursos CSS e inspecione endpoints PHP retornando códigos incomuns.
- Qual a relação com CVE-2025-53521? A atividade está vinculada a esta falha de RCE não autenticada, que foi usada como vetor inicial para a instalação do rootkit.