Un malware avanzado ha estado comprometiendo los dispositivos F5 BIG-IP Access Policy Manager (APM) inyectando un web shell PHP directamente en la memoria del sistema. Esta técnica sofisticada le permite evadir los escaneos de disco tradicionales, dificultando enormemente su detección. La campaña está vinculada a la vulnerabilidad CVE-2025-53521, que inicialmente se clasificó como denegación de servicio (DoS) pero fue reclasificada como ejecución remota de código (RCE) de alta gravedad, con puntajes CVSS de 9.8 (v3.1) y 9.3 (v4.0).
Los atacantes aprovechan la vulnerabilidad para inyectar código malicioso en la memoria cuando Apache carga ciertos scripts PHP (apm_css.php3, full_wt.php3 y webtop_popup_css.php3). Un web shell es un pequeño script que permite a un atacante ejecutar comandos a través de solicitudes web. En este caso, el malware añade el web shell a la copia del script que se mantiene en memoria, haciendo que los archivos en disco parezcan limpios, a pesar de que el shell está activo. La cadena de ataque comienza con un instalador que infecta programas esenciales como /usr/sbin/httpd, el servidor web Apache, y manipula la función apr_dso_load para interceptar la carga del módulo PHP. Una vez cargado PHP, el malware reescribe las llamadas de apertura y mapeo de archivos para insertar el web shell antes del contenido original en memoria. Además, crea un socket local (/run/bigtlog.pipe) que otorga acceso a un shell interactivo sin abrir puertos de red.
La vulnerabilidad afecta a diversas versiones de F5 BIG-IP APM, incluyendo 17.5.0-17.5.1, 17.1.0-17.1.2, 16.1.0-16.1.6 y 15.1.0-15.1.10. F5 ha publicado parches correctivos desde octubre de 2025, disponibles en las versiones 17.5.1.3, 17.1.3, 16.1.6.1 y 15.1.10.8, respectivamente. Sin embargo, aplicar el parche solo previene futuras explotaciones y no garantiza la eliminación de un compromiso existente si el sistema ya fue infectado antes de la actualización.
Para las organizaciones con dispositivos F5 BIG-IP APM, es crucial aplicar los parches de seguridad de inmediato. Adicionalmente, se recomienda encarecidamente investigar activamente cualquier signo de compromiso, incluso si ya se ha aplicado el parche. Las acciones concretas incluyen ejecutar la herramienta de integridad sys-eicheck de F5, recopilar y enviar informes qkview a F5 para un análisis detallado, y, lo más importante, comparar el contenido de los módulos en memoria con las copias en disco, una técnica esencial para detectar este tipo de amenazas evasivas. En casos donde una investigación exhaustiva no sea posible, aislar el dispositivo y reconstruirlo desde cero es la medida más segura, aunque pueda generar una interrupción del servicio.
Qué significa para tu empresa: Este incidente subraya la necesidad de una estrategia de seguridad que vaya más allá de la detección basada en firmas y escaneos de disco. La capacidad de un atacante para inyectar código directamente en la memoria y operar sin dejar rastros persistentes en el disco exige soluciones de seguridad avanzadas. Implementar un SOC con monitoreo 24/7 es fundamental, ya que permite la detección temprana de comportamientos anómalos, el análisis forense de logs y la correlación de eventos de seguridad que podrían indicar la presencia de un web shell en memoria o la manipulación de procesos del sistema. Además, el uso de herramientas EDR/XDR robustas que monitoreen la actividad en memoria y el comportamiento de los procesos es crucial para identificar y mitigar este tipo de amenazas evasivas.
Fuente original: The Hacker News — ver artículo →