Descubren PoisonedRefresh, un rootkit que esconde su código malicioso solo en la memoria de servidores F5 BIG-IP
Los equipos de investigación de Sophos y ESET dieron a conocer esta semana los detalles de PoisonedRefresh, un rootkit para Linux diseñado específicamente para dispositivos F5 BIG-IP Access Policy Manager (APM), una plataforma utilizada principalmente por empresas, instituciones financieras y entidades gubernamentales para gestionar el acceso remoto seguro a sus redes.
Lo que distingue a este malware es su técnica de evasión: en lugar de escribir el código malicioso en el disco —donde los antivirus y las herramientas de detección suelen buscarlo—, PoisonedRefresh intercepta el cargador de módulos de Apache para inyectar un web shell en PHP directamente en la memoria. Cuando el servidor intenta leer ciertos archivos específicos (apm_css.php3, full_wt.php3 y webtop_popup_css.php3), el implante genera una versión modificada en memoria que combina el contenido original con el código malicioso, mientras el archivo guardado en disco permanece limpio ante cualquier escaneo.
Según los investigadores, PoisonedRefresh funciona como una carga de segunda etapa, lo que sugiere que los atacantes ya habían logrado un primer punto de acceso antes de instalarlo. Una de las vías conocidas para ese acceso inicial es CVE-2025-53521, una falla de ejecución remota de código sin autenticación en BIG-IP APM que ya ha sido explotada activamente en el pasado. Una vez dentro, el rootkit ofrece persistencia y ejecución de comandos con privilegios elevados, dificultando enormemente su detección y eliminación.
Para identificar una posible infección, Sophos recomienda vigilar solicitudes dirigidas a esos tres archivos .php3, respuestas HTTP 201 inusuales en endpoints PHP, y procesos de Apache que lean /proc/self/maps seguido de cambios en los permisos de memoria —comportamientos que no forman parte del funcionamiento normal del equipo. También sugiere bloquear la ejecución de archivos .php3 donde no sea necesaria y restringir el acceso a ptrace.
Casos como este confirman que mantener los equipos de borde (firewalls, VPN, balanceadores de carga como BIG-IP) con parches al día ya no es suficiente por sí solo: cuando un atacante logra comprometer uno de estos dispositivos, las amenazas modernas están diseñadas para ocultarse de las herramientas de seguridad tradicionales. Contar con monitoreo continuo, detección de comportamiento anómalo y un plan de respuesta a incidentes —más allá del simple parchado— es lo que realmente reduce el tiempo que un atacante puede pasar inadvertido dentro de la red.
