Alerta Crítico: Dispositivos F5 BIG-IP APM Atacados por Rootkit Linux

A nova campanha de ataque contra dispositivos F5 BIG-IP APM mostra uma escalada preocupante na sofisticação de táticas ofensivas. Os atacantes exploram a falha de execução remota de código (RCE) CVE-2025-53521 para injetar um web shell *fileless*, que opera diretamente na memória. Essa técnica evita deixar rastros no disco, dificultando a detecção por ferramentas de segurança tradicionais que focam na análise de arquivos estáticos.

Após o acesso inicial, a ameaça implanta o *rootkit* Linux, batizado de PoisonedRefresh pela ESET, que assume o controle do executável do Apache e altera as configurações do SELinux para garantir persistência. O *rootkit* se destaca pela engenharia inversa de componentes críticos do sistema, como interceptar a função `__libc_start_main` para carregar antes da aplicação principal e enganchar o carregador de módulos `apr_dso_load` do Apache para manipular operações PHP. Isso permite injetar código malicioso em scripts PHP legítimos como `apm_css.php3` sem modificá-los no disco, tornando a detecção ainda mais evasiva. Há também um mecanismo que retarda a criação de um backdoor local, utilizando um socket UNIX, minimizando o risco de falha do serviço e camuflando a atividade maliciosa.

A notícia atualiza um cenário que já vínhamos monitorando no CEVIU News. Anteriormente, em 31 de março de 2026, reportamos a reclassificação da vulnerabilidade CVE-2025-53521 da F5 Networks, que passou de um problema de Negação de Serviço (DoS) para uma falha crítica de Execução Remota de Código (RCE). O que era um alerta teórico sobre o potencial de exploração, agora se concretizou em ataques ativos e complexos.

Agora, vemos a materialização desse risco. Os atacantes não só exploram essa RCE, mas o fazem com um *rootkit* avançado que usa técnicas *fileless* e de injeção em memória, algo que não havia sido detalhado na cobertura inicial sobre a reclassificação da vulnerabilidade. A ameaça PoisonedRefresh mostra uma evolução clara das capacidades ofensivas, transformando um vetor de entrada em uma infecção persistente e furtiva.

Para as empresas que dependem dos dispositivos F5 BIG-IP APM, esta campanha representa uma ameaça direta e grave. A exploração de vulnerabilidades críticas seguida pela instalação de um *rootkit* Linux sofisticado pode levar ao comprometimento total dos sistemas, roubo de dados e interrupção de serviços essenciais. A natureza *fileless* e a injeção em memória tornam a detecção um desafio, exigindo estratégias de segurança mais avançadas que o simples monitoramento de arquivos.

A urgência de aplicar *patches* e implementar monitoramento comportamental é inegável. Esta situação reforça a necessidade de as equipes de segurança irem além das defesas básicas, adotando análise forense e detecção de anomalias que identifiquem os padrões incomuns mencionados pela Sophos, como acesso a `/proc/self/maps` por processos Apache ou respostas HTTP 201 com tipo `text/css` em PHP. A defesa deve evoluir na mesma velocidade que os ataques.