Los atacantes han dado un paso más en la sofisticación de sus ataques a infraestructuras críticas. Un rootkit diseñado específicamente para dispositivos F5 BIG-IP APM ha sido detectado en la naturaleza y su funcionamiento es, tan sigiloso que puede eludir la mayoría de los sistemas de detección tradicionales.
El malware, identificado como ‘PoisonedRefresh’ por ESET, es capaz de interceptar la carga de archivos PHP y inyectar un webshell directamente en la memoria del servidor, sin necesidad de escribir código malicioso en el disco. Esta técnica, conocida como “fileless”, hace que el rootkit sea extremadamente difícil de detectar y erradicar, incluso para los administradores más experimentados.
El análisis realizado por Sophos revela que el rootkit es una carga útil de segunda etapa, probablemente desplegada después de explotar la vulnerabilidad crítica CVE-2025-53521, una falla de ejecución remota de código que F5 Networks reclasificó en marzo, pasando de ser considerada un problema de denegación de servicio a una amenaza crítica. La combinación de una vulnerabilidad sin parchear y un rootkit sigiloso convierte a los dispositivos BIG-IP APM en un objetivo prioritario para los ciberdelincuentes.
La anatomía del ataque: cómo se instala y se oculta el rootkit
El rootkit se despliega mediante un componente instalador o propagador que infecta el ejecutable Apache /usr/sbin/httpd utilizado en los sistemas BIG-IP APM. Este instalador también modifica las configuraciones de SELinux y logra la persistencia incluso a través de las imágenes de actualización de BIG-IP, lo que significa que reiniciar o actualizar el dispositivo no elimina la amenaza.
Una vez que el sistema se reinicia, el rootkit se activa interceptando la función __libc_start_main, lo que le permite ejecutarse antes de que se invoque la función main() de la aplicación host. A partir de ahí, el malware engancha el cargador de módulos de Apache Portable Runtime (APR) para interceptar la carga de módulos PHP y ocultar su presencia.
La técnica de inyección en memoria es especialmente eficaz porque los archivos PHP en el disco permanecen sin cambios. El rootkit modifica los scripts legítimos (como apm_css.php3, full_wt.php3 y webtop_popup_css.php3) en memoria, ocultando el webshell dentro de código que parece legítimo. Estos scripts fueron elegidos porque están presentes en los entornos webtop de BIG-IP APM y es menos probable que activen alertas de seguridad.
El webshell en acción: comandos camuflados como peticiones CSS
El webshell inyectado acepta solicitudes especialmente formateadas (“mágicas”), descifra su contenido y las ejecuta a través de la función eval() de PHP. La respuesta se devuelve como un código HTTP 201, pero el contenido se disfraza de CSS para pasar desapercibido. Esto permite a los atacantes ejecutar comandos en el servidor sin que los administradores sospechen, ya que el tráfico parece legítimo.
Sophos ha identificado una característica adicional de protección en el rootkit: la creación del backdoor local se retrasa hasta que el proceso de Apache comienza a hacer llamadas de tiempo de rutina. Este retraso reduce el riesgo de desestabilizar el servicio y ayuda al malware a integrarse en el comportamiento normal del sistema.
El socket de comunicación: una puerta trasera sin puerto TCP
Además del webshell, el rootkit crea un socket de comunicación local protegido por contraseña que puede lanzar una shell Bash interactiva sin abrir un puerto TCP de escucha. Este socket, ubicado en /run/bigtlog.pipe, no está expuesto directamente a Internet, por lo que los atacantes necesitarían otro punto de apoyo en el dispositivo para acceder a él.
Sin embargo, la existencia de este socket supone un riesgo adicional: si los atacantes logran comprometer el sistema por otra vía, pueden utilizar este mecanismo para obtener acceso a una shell con privilegios sin que se abra un puerto de red sospechoso.
Cómo detectar y responder al ataque
Sophos ha compartido varias señales que pueden indicar la presencia del rootkit en un sistema:
- Procesos de Apache que leen
/proc/self/maps(un indicio de que el malware está manipulando la memoria). - Cambios en las protecciones de memoria de
libphp. - Creación del archivo
/run/bigtlog.pipe. - Lanzamiento de
/bin/bashdesde procesos de Apache.
Los administradores también deben investigar las solicitudes POST inusuales a los endpoints .php3 y las respuestas PHP que combinan un código HTTP 201 con un tipo de contenido text/css.
La vulnerabilidad que abre la puerta: CVE-2025-53521
El rootkit se despliega después de explotar la vulnerabilidad CVE-2025-53521, una falla crítica de ejecución remota de código en los dispositivos F5 BIG-IP APM. F5 Networks reclasificó esta vulnerabilidad en marzo, elevando su gravedad de denegación de servicio a ejecución remota de código, lo que indica que los atacantes pueden ejecutar comandos arbitrarios en el sistema sin autenticación.
El ShadowServer Foundation, que ofrece un rastreador de sistemas F5 BIG-IP APM vulnerables a CVE-2025-53521, ha informado de que 795 endpoints estaban expuestos en Internet ayer. Esta cifra subraya la urgencia de aplicar los parches de seguridad y de implementar medidas de detección para identificar posibles compromisos.
Un rootkit que desafía la detección tradicional
El caso de ‘PoisonedRefresh’ es un recordatorio de que la seguridad de los sistemas de infraestructura crítica no puede depender únicamente de la detección de malware basada en firmas. Los atacantes están utilizando técnicas cada vez más sofisticadas, como la inyección en memoria y la ofuscación de tráfico, para eludir las defensas tradicionales.
Los administradores deben adoptar un enfoque de defensa en profundidad que incluya:
- La aplicación inmediata de parches para vulnerabilidades críticas como CVE-2025-53521.
- La monitorización de procesos y archivos en memoria para detectar comportamientos sospechosos.
- La implementación de soluciones de detección basadas en comportamiento que puedan identificar patrones anómalos.
- La rotación de credenciales y la revisión de configuraciones de seguridad en sistemas potencialmente comprometidos.
El desafío de la seguridad en la era del rootkit invisible
El rootkit ‘PoisonedRefresh’ representa una nueva generación de amenazas que operan en la memoria y evaden los sistemas de detección tradicionales. Su capacidad para ocultarse en procesos legítimos y comunicarse sin abrir puertos de red lo convierte en un adversario formidable para los equipos de seguridad.
La respuesta a esta amenaza requiere una combinación de parches rápidos, monitorización avanzada y un cambio en la mentalidad de los administradores: la seguridad ya no es una cuestión de instalar antivirus, sino de vigilar constantemente los sistemas en busca de comportamientos anómalos y de aplicar parches antes de que los atacantes puedan explotarlos.
La lección de ‘PoisonedRefresh’ es clara: la confianza en la seguridad de los sistemas de infraestructura crítica no puede darse por sentada. Los atacantes están innovando constantemente, y los defensores deben hacer lo mismo. La seguridad es una carrera continua, y el rootkit de F5 BIG-IP APM es el último recordatorio de que no hay tiempo que perder.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
