F5 BIG-IP APM(애플리케이션 접근 관리) 장치를 겨냥한 Linux 루트킷이 발견되었습니다. 이 악성코드는 CVE-2025-53521이라는 심각한 원격 코드 실행(RCE, 공격자가 원격에서 시스템 명령을 마음대로 실행하는 공격) 취약점을 악용한 뒤 배포되며, 디스크에 파일을 남기지 않고 메모리 안에서 직접 웹 셸(해킹 도구)을 주입하는 '파일리스' 방식을 사용합니다. Sophos와 ESET이 동일한 악성코드를 분석했으며, ESET은 이를 'PoisonedRefresh'로 명명했습니다. BIG-IP 시스템 업그레이드 이후에도 감염이 유지되고, 실제로 795개의 취약 엔드포인트가 인터넷에 노출된 것으로 확인되어 즉각적인 패치와 침해 여부 점검이 필요합니다.
F5 BIG-IP APM 장치에 Linux 루트킷이 배포됨. CVE-2025-53521 취약점 악용 후 2단계 페이로드로 투입되며, Apache의 PHP 모듈 로더를 후킹해 메모리 내에 웹 셸을 주입하는 파일리스 공격 기법을 사용.
795개의 취약 엔드포인트가 인터넷에 노출 확인. 원격 코드 실행, 숨겨진 Bash 백도어 유지, BIG-IP 업그레이드 이후에도 지속되는 영속성(persistence) 확보.
CVE-2025-53521(처음에는 DoS로 분류되었다가 2025년 3월 심각한 RCE로 재분류된 취약점) 악용. Apache httpd 실행 파일 감염 및 SELinux 설정 변조.
Sophos가 탐지 지표(IOC) 공개. ShadowServer Foundation이 취약 장치 추적기 운영 중. F5 패치 즉시 적용 권고.
Apache 워커의 /proc/self/maps 읽기, /run/bigtlog.pipe 생성, /bin/bash 실행, apm_css.php3 등 .php3 엔드포인트에 대한 비정상 POST 요청, HTTP 201 + text/css 조합 PHP 응답이 나타나면 침해를 의심하고 즉시 조사해야 함.
본문
F5 BIG-IP APM 환경의 장치를 노리는 Linux 루트킷이 PHP 파일 로딩을 가로채 파일리스(fileless) 웹 셸을 직접 메모리에 주입할 수 있는 것으로 확인됐습니다. 악성 코드를 디스크에 기록할 필요가 없는 방식입니다.
이 악성코드는 2단계 페이로드의 특징을 보이며, CVE-2025-53521—F5 Networks가 올해 3월 DoS 문제에서 심각한 원격 코드 실행(RCE) 결함으로 재분류한 취약점—을 악용한 뒤 배포된 것으로 추정됩니다.
Sophos 연구진은 샘플을 분석한 결과, 이 악성코드가 일반적으로 웹 셸과 연관된 "온디맨드 서버 사이드 코드 실행"을 가능하게 하면서도, "더 심층적인 Linux 및 Apache 특화 기법"을 통해 이를 달성한다고 밝혔습니다.
조사 과정에서 Sophos는 동일한 악성코드를 ESET도 분석했다는 사실을 확인했으며, ESET은 이를 'PoisonedRefresh'로 명명했습니다.
이번 주 공개된 기술 분석에서 Sophos는 해당 페이로드가 BIG-IP APM 시스템에서 사용되는 Apache /usr/sbin/httpd 실행 파일을 감염시킨 별도의 설치 또는 전파 컴포넌트에 의해 배포됐다고 설명했습니다.
악성 설치 프로그램은 SELinux 설정도 변조했으며, BIG-IP 업그레이드 이미지에서도 지속성을 유지하는 것으로 Sophos 연구진은 전합니다.
"2단계 샘플은 RC4로 주요 운영 문자열을 숨기고, __libc_start_main을 가로채 호스트 애플리케이션의 main() 함수 호출 전에 실행을 확보하며, Apache Portable Runtime(APR) 모듈 로더(apr_dso_load)를 후킹해 Apache의 PHP 모듈을 표적으로 삼고, PHP 웹 셸을 메모리에 주입합니다."
루트킷은 Apache와 함께 시작되며, 2단계 임플란트는 PHP 파일 작업을 가로채 메모리 내에서 변조함으로써 정상 스크립트(예: apm_css.php3, full_wt.php3, webtop_popup_css.php3) 안에 웹 셸을 숨깁니다.
Sophos는 해당 스크립트들이 BIG-IP APM 웹탑(webtop) 환경에 기본 존재하며 보안 경보를 덜 유발할 가능성이 높기 때문에 표적이 된 것으로 보인다고 설명합니다. 또한 디스크 상의 PHP 파일은 변경되지 않아 탐지 표면이 크게 줄어듭니다.
주입된 웹 셸은 특수 형식("매직") 요청을 수신하고 내용을 복호화한 뒤, PHP의 eval() 함수로 실행하고 CSS 콘텐츠로 위장한 HTTP 201 응답을 반환합니다.
루트킷이 PHP 스크립트의 메모리 내 복사본에 웹 셸을 주입하는 모습
출처: Sophos
Sophos는 Apache 시작 시 로컬 백도어 생성을 지연시키는 보호 메커니즘을 강조했습니다. 이는 서비스 장애 및 탐지 위험을 줄이기 위한 것입니다.
"Apache 프로세스가 일상적인 시간 호출을 시작할 때, 임플란트가 로컬 UNIX 소켓 백도어를 생성하는 워커 스레드를 생성하고 분리합니다"라고 Sophos는 설명합니다.
"이 타이밍 방식은 서비스를 불안정하게 만들 위험을 최소화하고 임플란트가 정상적인 런타임 동작에 섞여들 수 있게 합니다."
루트킷은 또한 TCP 리스닝 포트를 열지 않고도 대화형 Bash 셸을 실행할 수 있는 암호로 보호된 로컬 통신 소켓을 생성합니다.
해당 소켓은 인터넷에 직접 노출되지 않으므로 공격자가 접근하려면 장치 내에 다른 발판이 필요하나, Sophos는 이와 상호작용하는 데 사용된 컴포넌트는 확인하지 못했습니다.
로컬 UNIX 소켓을 통해 Bash를 실행하는 모습
출처: Sophos
해당 보안 기업은 이 악성코드와 연관된 악성 활동 신호 세트를 공유했으며, 여기에는 Apache 워커의 /proc/self/maps 읽기, libphp 메모리 보호 변경, /run/bigtlog.pipe 생성, /bin/bash 실행 등이 포함됩니다.
방어자들은 또한 대상 .php3 엔드포인트에 대한 비정상 POST 요청과 HTTP 201 및 text/css 콘텐츠 유형이 결합된 PHP 응답을 조사할 것을 권고받았습니다.
CVE-2025-53521에 취약한 F5 BIG-IP APM 시스템의 추적기를 운영하는 ShadowServer Foundation에 따르면, 어제 기준 795개의 엔드포인트가 인터넷에 노출된 상태였습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
