La empresa de ciberseguridad estadounidense F5 reveló que actores de amenazas no identificados irrumpieron en sus sistemas y robaron archivos que contenían parte del código fuente de BIG-IP e información relacionada con vulnerabilidades no reveladas en el producto. La compañía atribuyó la actividad a un “actor de amenazas altamente sofisticado respaldado por un estado-nación”, y agregó que el adversario mantuvo un acceso persistente a largo plazo a su red. F5 descubrió la brecha el 9 de agosto de 2025, pero retrasó la divulgación pública a petición del Departamento de Justicia de EE. UU. (DoJ).
F5 ha tomado medidas exhaustivas para contener al actor de amenazas y, desde que comenzó estas actividades, no ha detectado ninguna actividad no autorizada nueva. La compañía enfatizó que no ha observado ninguna indicación de que las vulnerabilidades hayan sido explotadas en un contexto malicioso. Los atacantes no accedieron a sus sistemas CRM, financieros, de gestión de casos de soporte o iHealth.
Sin embargo, algunos de los archivos exfiltrados de su plataforma de gestión del conocimiento contenían información de configuración o implementación para un pequeño porcentaje de clientes. F5 notificará directamente a los clientes afectados tras una revisión de los archivos.
Tras el descubrimiento del incidente, F5 contrató los servicios de Google Mandiant y CrowdStrike, además de rotar credenciales y certificados y claves de firma, fortalecer los controles de acceso, implementar herramientas para monitorear mejor las amenazas, reforzar su entorno de desarrollo de productos con controles de seguridad adicionales e implementar mejoras en su arquitectura de seguridad de red.
Se recomienda a los usuarios que apliquen las últimas actualizaciones para BIG-IP, F5OS, BIG-IP Next for Kubernetes, BIG-IQ y clientes APM lo antes posible para una protección óptima.
En respuesta a la divulgación de F5, la Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) emitió una directiva de emergencia (ED 26-01) que exige a las agencias del Poder Ejecutivo Civil Federal que inventarien los productos F5 BIG-IP, verifiquen si las interfaces de administración en red son accesibles desde la Internet pública y apliquen las actualizaciones recién publicadas de F5 antes del 22 de octubre de 2025.
Bloomberg reveló que los atacantes estuvieron en la red de la empresa durante al menos 12 meses y que la intrusión involucró el uso de una familia de malware denominada BRICKSTORM, que se atribuye a un grupo de ciberespionaje vinculado a China rastreado como UNC5221.
Michael Sikorski, CTO y Jefe de Inteligencia de Amenazas de Unit 42 en Palo Alto Networks, dijo que si un atacante roba el código fuente, lleva tiempo encontrar problemas explotables. En este caso, también robaron información sobre vulnerabilidades no reveladas en las que F5 estaba trabajando activamente para parchear. Esto proporciona la capacidad para que los actores de amenazas exploten vulnerabilidades que no tienen un parche público, lo que podría aumentar la velocidad de creación de exploits. La divulgación de 45 vulnerabilidades en este trimestre frente a solo 6 el trimestre pasado sugiere que F5 se está moviendo lo más rápido que puede para parchear activamente estas fallas robadas antes de que los actores de amenazas puedan explotarlas.
Fuente original: Ver aquí