پیلود مرحله دوم حمله به F5 BIG-IP APM
بررسی‌های امنیتی نشان می‌دهد این بدافزار احتمالاً پیلود مرحله دوم حمله است که پس از سوءاستفاده از آسیب‌پذیری CVE-2025-53521 در F5 BIG-IP APM مستقر شده است. این آسیب‌پذیری با شدت بحرانی از نوع اجرای کد از راه دور (RCE) است که به مهاجمان اجازه می‌دهد کد دلخواه خود را روی سیستم اجرا کنند. F5 Networks در ماه مارس، پس از بررسی‌های بیشتر، طبقه‌بندی این آسیب‌پذیری را که پیش‌تر انکار سرویس (DoS) محسوب می‌شد، به RCE تغییر داد.
پژوهشگران Sophos با بررسی یک نمونه از این بدافزار دریافتند که این نمونه امکان اجرای کد سمت سرور برحسب درخواست (On-Demand) را فراهم می‌کند؛ قابلیتی که معمولاً در وب‌شل‌ها مورد استفاده قرار می‌گیرد. با این حال، بدافزار برای ارائه این قابلیت از تکنیک‌های تخصصی در لینوکس و آپاچی (Apache) استفاده می‌کند و از سازوکارهای داخلی این محیط‌ها برای اجرای کد مخرب بهره می‌گیرد.
در جریان این بررسی، پژوهشگران Sophos دریافتند که ESET نیز همین بدافزار را تحلیل کرده و آن را PoisonedRefresh نام‌گذاری کرده است.
کامپوننت نصب و ایجاد پایداری در سیستم
بر اساس تحلیل فنی Sophos، پیلود توسط یک کامپوننت مجزای نصب یا استقرار (Installer/Propagation) روی سیستم قرار گرفته است. این کامپوننت، فایل اجرایی آپاچی در مسیر /usr/sbin/httpdرا آلوده کرده بود. این فایل در سامانه‌های F5 BIG-IP APM مورد استفاده قرار می‌گیرد.
همچنین نصب‌کننده مخرب پیکربندی‌های SELinux را تغییر داده و امکان پایداری (Persistence) بدافزار را در ایمیج‌های مورد استفاده برای به‌روزرسانی BIG-IP فراهم کرده است. به این ترتیب، بدافزار می‌تواند پس از به‌روزرسانی سیستم نیز روی دستگاه باقی بماند.
اجرای پنهانی و تزریق وب‌شل در حافظه
پیلود مرحله دوم حمله، رشته‌های کلیدی مورد استفاده در فرآیند اجرای خود را با الگوریتم رمزنگاری RC4 پنهان می‌کند. این پیلود با رهگیری تابع __libc_start_main، پیش از اجرای تابع main() در اپلیکیشن میزبان، کنترل فرآیند اجرا را به دست می‌آورد.
در ادامه بدافزار با اجرای هوک (Hooking) روی لودر ماژول Apache Portable Runtime (APR) از طریق تابع apr_dso_load، ماژول PHP در آپاچی را هدف قرار می‌دهد و یک وب‌شل PHP را مستقیماً در حافظه تزریق می‌کند. روت‌کیت فعالیت خود را از پردازه آپاچی آغاز می‌کند. ایمپلنت مرحله دوم نیز عملیات مربوط به فایل‌های PHP را رهگیری کرده و نسخه‌های موجود در حافظه را تغییر می‌دهد تا وب‌شل را درون اسکریپت‌های قانونی پنهان کند. نمونه‌هایی از این فایل‌ها شامل apm_css.php3، full_wt.php3 و webtop_popup_css.php3 هستند.
به گفته Sophos، این اسکریپت‌ها احتمالاً به این دلیل هدف قرار گرفته‌اند که در محیط‌های Webtop مربوط به F5 BIG-IP APM وجود دارند و احتمال ایجاد هشدارهای امنیتی هنگام دستکاری آن‌ها کمتر است. از سوی دیگر، فایل‌های PHP روی دیسک بدون تغییر باقی می‌مانند. در نتیجه، آثار کمتری از فعالیت مخرب روی سیستم باقی می‌ماند و شناسایی بدافزار برای سامانه‌های امنیتی دشوارتر می‌شود.
وب‌شل تزریق‌شده، درخواست‌هایی با فرمت ویژه را دریافت می‌کند. سپس محتوای این درخواست‌ها را رمزگشایی کرده و با استفاده از تابعeval() در PHP اجرا می‌کند. در نهایت، وب‌شل یک پاسخ HTTP 201 را در قالب محتوای CSS به درخواست‌کننده بازمی‌گرداند و مقدار Content-Type: text/css را در هدر پاسخ قرار می‌دهد.
سازوکار بکدور لوکال روت‌کیت
Sophos به یک سازوکار حفاظتی در این روت‌کیت لینوکس اشاره کرده است که ایجاد بکدور لوکال را هم‌زمان با راه‌اندازی آپاچی انجام نمی‌دهد. این سازوکار با به تعویق انداختن ایجاد بکدور، احتمال اختلال در سرویس و شناسایی فعالیت مخرب را کاهش می‌دهد.
پس از اینکه پردازه آپاچی شروع به اجرای فراخوانی‌های معمول مربوط به زمان می‌کند، ایمپلنت یک ورکر (Worker) ایجاد کرده و آن را از پردازه اصلی جدا می‌کند. این ورکر وظیفه ایجاد بکدور لوکال از طریق سوکت یونیکس (UNIX Socket) را بر عهده دارد.
Sophos توضیح می‌دهد که این زمان‌بندی، احتمال اختلال در عملکرد سرویس را کاهش می‌دهد و باعث می‌شود فعالیت ایمپلنت در روند عادی اجرای سیستم کمتر جلب توجه کند.
روت‌کیت یک سوکت ارتباطی لوکال ایجاد می‌کند که با رمز عبور محافظت می‌شود. مهاجمان از طریق این سوکت می‌توانند به یک شل تعاملی Bash دسترسی پیدا کنند، بدون اینکه لازم باشد پورتی برای اتصال مستقیم از طریق TCP روی دستگاه باز شود.
این سوکت مستقیماً از طریق اینترنت قابل دسترسی نیست. بنابراین، مهاجمان ابتدا باید از طریق روش دیگری به دستگاه نفوذ کنند تا بتوانند به این سوکت دسترسی پیدا کنند. با این حال، Sophos موفق نشده است کامپوننتی را شناسایی کند که مهاجمان برای برقراری ارتباط با این سوکت از آن استفاده می‌کنند.
نشانه‌های فعالیت مخرب در F5 BIG-IP APM
پژوهشگران Sophos چند نشانه مشخص از فعالیت مخرب مرتبط با این بدافزار را معرفی کرده‌اند. این نشانه‌ها شامل خواندن /proc/self/maps توسط ورکرهای آپاچی، تغییر مجوزهای حافظه مربوط به libphp، ایجاد فایل /run/bigtlog.pipe و اجرای /bin/bash هستند.
همچنین تیم‌های امنیتی باید درخواست‌های غیرعادی POST به Endpointهای هدف با پسوند .php3 را بررسی کنند. پاسخ‌های PHP که هم‌زمان شامل HTTP 201 و text/css هستند نیز می‌توانند نشانه‌ای از فعالیت این بدافزار باشند.
بر اساس گزارش‌های بنیاد ShadowServer، 795 سامانه F5 BIG-IP APM مستقیماً از طریق اینترنت قابل دسترسی بوده‌اند. این آمار نشان می‌دهد که همچنان تعداد قابل توجهی از سامانه‌های آسیب‌پذیر F5 BIG-IP APM از طریق اینترنت قابل دسترسی هستند و می‌توانند هدف حملات مهاجمان قرار گیرند.
