F5 BIG-IP APM yüklü cihazları hedef alan yeni kötü amaçlı yazılım, PHP web shell’i diske hiç dokunmadan belleğe enjekte ederek klasik dosya taramalarını boşa çıkarıyor. Güvenlik araştırmalarına göre saldırı zinciri, Apache’nin yüklediği PHP betikleri üzerinden ilerliyor ve denetim ekipleri diskte temiz görünen bir sisteme rağmen bellekte çalışan arka kapıyla karşılaşabiliyor.
İnceleme, bu tekniğin BIG-IP APM webtop bileşeninde yer alan apm_css.php3, full_wt.php3 ve webtop_popup_css.php3 dosyalarını hedef aldığını ortaya koydu. F5, bu üç dosyayı mart ayında c05d5254 olarak izlenen kötü amaçlı faaliyetin göstergeleri arasında paylaşmış, yalnızca bu dosyalarda değişiklik görülmesinin tek başına ihlal kanıtı olmayacağını söylemişti.
Yeni analiz, F5’in o dönemde yaptığı iki açıklamanın da aynı anda doğru olabileceğini gösteriyor: bazı vakalarda web shell gerçekten diske yazılıyor, bazı vakalarda ise yalnızca bellekte çalışıyor. Araştırmacıların ifadesiyle bu web shell’in “nihai biçimiyle diskte var olması gerekmiyor”.
Apache, PHP modülünü yükleyince devreye giriyor
İncelenen örnek tek bir vakaya dayanıyor; araştırmacılar kurban ismi paylaşmadı ve örneğin nasıl elde edildiğini de belirtmedi. Buna karşın, bulgular saldırının Apache ile PHP arasındaki yükleme akışına yerleştiğini açık biçimde gösteriyor.
Sophos’un analizine göre kötü amaçlı kod, Apache Portable Runtime içindeki apr_dso_load işlevini kancalıyor ve Apache, PHP modülü libphp yüklenene kadar bekliyor. PHP modülü belleğe alındıktan sonra zararlı yazılım, /proc/self/maps dosyasını okuyarak modülün adresini buluyor, ilgili bellek sayfalarını kısa süreliğine yazılabilir hâle getiriyor ve modülün dosya açma, boyut ölçme ve eşleme çağrılarını yeniden yazıyor.
Ardından sayfaların izinleri eski hâline döndürülüyor. Bu noktadan sonra kötü amaçlı kod, PHP’nin üç betikten birini açtığında ne göreceğini kontrol ediyor. Dosya belleğe eşlenirken web shell’in içeriği, orijinal dosya içeriğinin önüne yerleştiriliyor; böylece dosyanın diskteki kopyası temiz görünmeye devam ediyor.
Web shell, HTTP isteğinin ham gövdesini okuyor, içinde kısa bir işaretleyici arıyor, kalan kısmı çözüyor ve çalıştırıyor. Yanıt olarak HTTP 201 dönüyor ve içerik türü olarak CSS kullanılıyor; bu da trafiğin bir stil sayfası isteği gibi görünmesini sağlıyor.
Bu davranış klasik web shell mantığını ters yüz ediyor. Normalde saldırganlar web sunucusunun dizinine küçük bir betik bırakır, komutları sıradan HTTP istekleri üzerinden bu betik aracılığıyla çalıştırır. Savunma ekipleri de dosya taramaları, bütünlük kontrolleri ve bilinen iyi kopyalarla karşılaştırma yöntemiyle bu kalıntıyı arar. Buradaki yöntem ise dosyanın son hâlini diskte bırakmadan bellekte üretildiği için aynı yaklaşımı etkisiz bırakıyor.
İki ayrı giriş yolu, tek zincirde birleşiyor
Saldırının daha erken aşamalarında disk üzerinde iz bırakan bileşenler de var. Sophos, umount adlı bir örnekte bulunan ayrı bir yükleyicinin Apache web sunucusu programı /usr/sbin/httpd içine kötü amaçlı kodu dosyanın önüne ekleyerek bulaştığını yazdı. Eklenen kodun boyutu, yükleyicinin taşıdığı zararlı yükle aynı büyüklükte çıktı; araştırmacılar bunun kodun gerçekten yükleyici tarafından yerleştirildiğine güçlü işaret olduğunu belirtti.
ESET’in nisan ayında incelediği benzer örnekler ise bu yükleyicinin root olarak çalıştırılmak üzere tasarlandığını ve SELinux’u kapattığını gösterdi. ESET, kötü amaçlı yazılımın umount, httpd ve rc.local dosyalarına BIG-IP kurulum imajları içinde de bulaştığını, bunun da yazılımı kurulum medyası üzerinden başka sistemlere yayma amacı taşıyabileceğini aktardı. ESET bu aileye PoisonedRefresh adını verdi.
F5, c05d5254 etkinliğini CVE-2025-53521 ile ilişkilendirdi. Şirket bu açığı ilk kez 15 Ekim 2025’te hizmet reddi sorunu olarak yayımlamıştı. 27 Mart 2026’da ise yeni bilgilerin ardından açığı uzaktan kod çalıştırma açığı olarak yeniden sınıflandırdı ve aktif olarak istismar edildiğini bildirdi.
Bu açık için saldırganın oturum açması gerekmiyor. F5, CVSS 3.1 puanını 9,8, CVSS 4.0 puanını ise 9,3 olarak değerlendirdi. CISA da aynı gün açığı Known Exploited Vulnerabilities kataloğuna ekledi ve ABD federal sivil kurumlarına 30 Mart’a kadar işlem yapma süresi tanıdı. Açık, bir BIG-IP APM erişim politikasının sanal sunucu üzerinde tanımlandığı yapılarda geçerli oluyor.
Birleşik Krallık Ulusal Siber Güvenlik Merkezi, BIG-IP APM’yi özellikle büyük kuruluşlarda yaygın bir bileşen olarak tanımlıyor. F5’in yayımladığı duyuruda, etkilenen ve düzeltilen sürümler de listeleniyor. Buna göre 17.5.0 ile 17.5.1 aralığı 17.5.1.3 ile; 17.1.0 ile 17.1.2 aralığı 17.1.3 ile; 16.1.0 ile 16.1.6 aralığı 16.1.6.1 ile; 15.1.0 ile 15.1.10 aralığı ise 15.1.10.8 ile düzeltilmiş durumda.
Yama neredeyse bir yıl önce yayımlanmış olmasına rağmen, İrlanda Ulusal Siber Güvenlik Merkezi 31 Mart tarihli duyurusunda Ekim ayında çıkan düzeltmenin hâlâ geçerli olduğunu ve istismarı engelleyeceğini söyledi. Ancak aynı kurum, güncelleme yapılmış olmasının tek başına cihazın daha önce ele geçirilmediği anlamına gelmediğini de vurguladı.
Birleşik Krallık NCSC de sistem ne zaman güncellenmiş olursa olsun ihlal incelemesinin yapılması gerektiğini belirtiyor. Kurum, tam inceleme mümkün değilse cihazın izole edilmesini ve sıfırdan yeniden kurulmasını öneriyor; bunun kesinti yaratabileceğini de not ediyor.
F5, kendi yerleşik sys-eicheck bütünlük denetiminin çalıştırılmasını istiyor. Şirketin göstergelerine göre /usr/bin/umount ve /usr/sbin/httpd dosyalarındaki değişiklikler bu aracı başarısızlığa uğratıyor; yani denetimin başarısız olması tek başına bir alarm işareti sayılıyor. İhlal şüphesi olan sistemlerde ayrıca qkview raporu oluşturulup F5’e gönderilmesi ve ilgili vaka açılması öneriliyor. İrlanda NCSC, F5’in bu raporda ihlal izlerini kontrol edebildiğini ve bağlantılı vaka açmanın daha hızlı ve kapsamlı yanıt alınmasını sağladığını aktardı.
Sophos, davranışsal göstergelerin tek başına kanıt olmadığını; dosya, süreç ve bellek delilleriyle birlikte değerlendirilmesi gerektiğini yazdı. F5’in mart ayında paylaştığı göstergeler arasında, /run/bigtlog.pipe veya /run/bigstart.ltm dosyalarının bulunması, /usr/bin/umount ya da /usr/sbin/httpd dosyalarında bilinen iyi kopyaya göre hash, boyut veya zaman damgası uyuşmazlığı görülmesi ve sys-eicheck aracının bu yüzden başarısız olması yer alıyor.
Kayıt tarafında ise /var/log/restjavad-audit içinde yerel bir kullanıcının localhost üzerinden iControl REST API’ye eriştiğini gösteren satırlar, /var/log/auditd içinde aynı yolla SELinux’un kapatıldığını belirten kayıtlar ve /var/log/audit içinde iControl REST üzerinden çalıştırılan bir bash komutuna işaret eden girdiler bulunuyor. F5’e göre bu satırlarda base64 verisinin bir dosyaya yazıldığı ve /run/bigstart.ltm dosyasının çalıştırıldığı görülüyor.
Ağ trafiğinde ise cihazdan dönen HTTP 201 yanıtları ve CSS içerik türü dikkat çekiyor. Ana makine davranışında Apache işçisinin /proc/self/maps okuması, libphp çevresindeki bellek izinlerini değiştirmesi, /run altında bir soket açması ya da /bin/bash başlatması araştırılması gereken işaretler arasında sayılıyor. F5’in yayımladığı SHA-256 değeri de 26bd5b0722d1dbab5db749a063c49bc8638653ac2addfead7a9cb3d6d57bccc9 olarak verildi.
F5’in mart ayındaki listesinde yer alan üç PHP dosyasındaki değişiklikler ise tek başına zayıf bir belirti olarak kalıyor. Şirket bu dosyaların varlığının tek başına bir sorun göstermediğini söylüyor; Sophos’un analizine göre de bunun nedeni, web shell’in diskte son biçimiyle hiç görünmek zorunda olmaması.
İki ayrı incelemenin ortak noktası, saldırının yalnızca tek bir katmana yerleşmemesi. Bir tarafta Apache ikilileri ve kurulum imajları üzerinden disk üzerinde değişen dosyalar var, diğer tarafta PHP çalıştığında bellekte yeniden yazılan çağrılar ve görünmez kalan bir web shell bulunuyor. Araştırmacıların iki raporu da tüm ihlal zincirini baştan sona açıklamıyor; F5’in listesi, Sophos’un analizinde yer almayan /run/bigstart.ltm ve sys-eicheck değişikliklerini de içeriyor.
F5, Sophos ve ESET’in paylaştığı bulgulara rağmen saldırının ne zaman başladığı hâlâ net değil. Yayınlanan duyurularda ve analizlerde, güncellenmiş bir cihaza yükseltme yapılmasının daha önce yüklenmiş kötü amaçlı kodu temizleyip temizlemediği de belirtilmedi. Üstelik hem Sophos hem ESET, yükseltme imajlarını atlatmaya dönük bir bileşen gördüklerini aktardı. Şimdiye kadar hiçbir kurum saldırıyı üstlenen grubu adlandırmadı; Sophos, bir grubu işaret edecek kadar kanıt olmadığını söylerken ESET de nisan ayında bu sorunun henüz netleşmediğini yazdı.