Um rootkit sem arquivos chamado PoisonedRefresh injeta shells web PHP na memória do servidor F5 BIG-IP APM Apache, sem deixar rastros em disco. A SophosLabs publicou uma análise técnica detalhada em 8 de setembro de 2026, sobre um implante Linux, denominado PoisonedRefresh pela ESET, encontrado em ambientes F5 BIG-IP Access Policy Manager comprometidos.
Detalhes Técnicos
O rootkit PoisonedRefresh é um malware que opera sem deixar arquivos em disco, tornando sua detecção mais desafiadora.
Ele é capaz de injetar shells web PHP na memória do servidor Apache do F5 BIG-IP APM, permitindo que os atacantes executem comandos remotamente.
A ESET identificou esse malware em ambientes comprometidos do F5 BIG-IP Access Policy Manager.
A SophosLabs também realizou uma análise técnica detalhada desse malware, designado como Linux/Agnt-IC.
Ações Recomendadas
Verifique se seu sistema F5 BIG-IP APM está atualizado com os últimos patches de segurança.
Realize uma varredura de segurança para detectar possíveis infecções pelo rootkit PoisonedRefresh.
Implemente medidas de segurança adicionais, como monitoramento de tráfego de rede e análise de logs, para detectar atividades suspeitas.
