Hacker Bobol F5 BIG-IP APM dan Menanam Rootkit Linux

Sebuah rootkit Linux baru ditemukan menargetkan perangkat F5 BIG-IP Application Policy Manager (APM) untuk menyisipkan web shell tanpa file langsung ke dalam memori. Teknik ini memungkinkan penyerang menjalankan kode dari sisi server sekaligus mengurangi jejak malware yang biasanya dapat ditemukan pada sistem file.

Menurut analisis peneliti keamanan Sophos, malware tersebut kemungkinan merupakan payload tahap kedua yang dipasang setelah penyerang mengeksploitasi kerentanan kritis CVE-2025-53521 pada perangkat F5 BIG-IP APM.

Kerentanan tersebut sebelumnya diklasifikasikan sebagai masalah denial-of-service (DoS), tetapi kemudian direklasifikasi oleh F5 sebagai celah remote code execution (RCE). Perubahan klasifikasi ini membuat eksploitasi terhadap perangkat yang belum ditambal menjadi jauh lebih serius.

Rootkit menyembunyikan web shell di memori

Sophos menganalisis sampel malware yang ternyata juga telah diteliti oleh ESET, yang memberikan nama PoisonedRefresh untuk malware tersebut.

Menurut Sophos, payload ini kemungkinan disebarkan menggunakan komponen installer atau propagation khusus yang sebelumnya telah menginfeksi executable Apache /usr/sbin/httpd pada sistem BIG-IP APM.

Installer berbahaya tersebut juga melakukan perubahan terhadap konfigurasi SELinux dan mampu mempertahankan infeksi bahkan ketika perangkat menggunakan image hasil upgrade BIG-IP.

Rootkit kemudian melakukan serangkaian modifikasi pada proses Apache. Salah satu teknik penting yang digunakan adalah mencegat fungsi __libc_start_main, sehingga malware dapat memperoleh eksekusi sebelum fungsi main() dari aplikasi host dijalankan.

Malware juga melakukan hooking terhadap apr_dso_load, yaitu mekanisme Apache Portable Runtime yang digunakan untuk memuat modul.

Dengan kombinasi teknik tersebut, rootkit dapat memantau proses pemuatan file PHP dan menyisipkan kode berbahaya ke dalam versi file yang berada di memori.

Web shell disisipkan tanpa mengubah file PHP

Salah satu karakteristik paling menarik dari serangan ini adalah cara rootkit menyembunyikan web shell.

Malware menargetkan beberapa script PHP yang digunakan dalam lingkungan BIG-IP APM Webtop, termasuk:

• apm_css.php3
• full_wt.php3
• webtop_popup_css.php3

Rootkit memodifikasi salinan script tersebut di dalam memori, bukan file aslinya yang tersimpan di disk.

Strategi tersebut kemungkinan dipilih karena file-file tersebut merupakan bagian dari lingkungan Webtop BIG-IP APM dan aktivitasnya lebih mungkin terlihat sebagai lalu lintas aplikasi normal.

Karena file PHP di disk tidak berubah, pemeriksaan file secara konvensional dapat gagal menemukan backdoor tersebut. Hal ini sekaligus memperkecil jejak yang dapat digunakan defender untuk mendeteksi kompromi.

Web shell menggunakan request khusus

Web shell yang disisipkan rootkit menerima request dengan format tertentu yang disebut Sophos sebagai “magic” requests.

Payload request tersebut kemudian didekripsi dan dijalankan menggunakan fungsi PHP eval(). Hasil eksekusi dikembalikan kepada penyerang melalui respons HTTP.

Menariknya, respons tersebut menggunakan HTTP 201 dan diberi content type text/css, sehingga komunikasi dengan web shell dapat terlihat seperti respons CSS biasa.

Teknik ini menunjukkan bahwa malware tidak sekadar menanam PHP web shell standar, tetapi dirancang untuk berbaur dengan aktivitas normal dari server web BIG-IP APM.

Backdoor lokal menggunakan UNIX socket

Rootkit juga memiliki mekanisme backdoor lain yang berjalan secara lokal.

Ketika Apache dimulai, malware tidak langsung membuat backdoor tersebut. Sebaliknya, prosesnya menunggu hingga Apache melakukan aktivitas rutin tertentu, seperti pemanggilan fungsi waktu.

Setelah kondisi tersebut terpenuhi, implant membuat worker thread yang bertugas membuat dan melepaskan UNIX socket lokal untuk komunikasi dengan backdoor.

Menurut Sophos, mekanisme penundaan ini dapat mengurangi risiko menyebabkan gangguan terhadap layanan Apache sekaligus membuat aktivitas malware lebih sulit terlihat pada saat proses startup.

Socket tersebut dilindungi menggunakan password dan dapat digunakan untuk menjalankan interactive Bash shell.

Karena menggunakan UNIX socket lokal, backdoor tidak membuka TCP listening port yang dapat langsung dipindai dari internet. Penyerang tetap membutuhkan foothold lain pada perangkat untuk berinteraksi dengan socket tersebut.

Sophos belum menemukan komponen yang digunakan oleh penyerang untuk mengakses backdoor lokal tersebut.

Indikator kompromi yang perlu diperhatikan

Sophos membagikan sejumlah indikator yang dapat membantu administrator mendeteksi aktivitas mencurigakan pada perangkat F5 BIG-IP APM.

Beberapa perilaku yang patut diperiksa antara lain proses Apache worker yang:

• Membaca /proc/self/maps
• Mengubah memory protection pada libphp
• Membuat /run/bigtlog.pipe
• Menjalankan /bin/bash

Administrator juga disarankan mencari POST request yang tidak biasa menuju endpoint .php3 yang menjadi target rootkit.

Indikator lainnya adalah respons PHP yang menggabungkan HTTP 201 dengan content type text/css, terutama jika pola tersebut muncul tanpa alasan yang jelas dalam aktivitas aplikasi.

Masih ada ratusan F5 BIG-IP APM yang terekspos

Besarnya risiko serangan ini diperparah oleh masih banyaknya perangkat F5 BIG-IP APM yang dapat diakses dari internet.

Menurut tracker milik Shadowserver Foundation, sebanyak 795 endpoint F5 BIG-IP APM yang rentan terhadap CVE-2025-53521 masih terdeteksi terekspos secara online pada 7 September 2026.

Angka tersebut menunjukkan bahwa meskipun kerentanan telah diketahui dan telah menjadi perhatian keamanan, masih terdapat ratusan sistem yang berpotensi menjadi target serangan.

Organisasi yang menggunakan F5 BIG-IP APM sebaiknya memastikan sistem telah mendapatkan patch yang sesuai dan melakukan pemeriksaan terhadap tanda-tanda kompromi. Mengingat rootkit dapat menyembunyikan web shell di memori, pemeriksaan file pada disk saja tidak cukup untuk memastikan perangkat benar-benar bersih.

Jika perangkat telah dieksploitasi, administrator juga perlu mempertimbangkan kemungkinan bahwa penyerang telah memperoleh akses lebih jauh daripada sekadar memasang web shell.

Sumber: Sophos