Sophosのセキュリティ研究者らが、F5 BIG-IP APM環境を標的とするLinuxルートキットの技術分析を公開した。

このマルウェアは、3月にF5 Networksによってクリティカルなリモートコード実行（RCE）脆弱性として再分類されたCVE-2025-53521を悪用し、システムに配置された第2段階のペイロードとして振る舞う。

ルートキットはApacheのPHPモジュールを標的とし、APRモジュールローダー（apr_dso_load）にフックして、正規のPHPスクリプト（apm_css.php3、full_wt.php3、webtop_popup_css.php3）にメモリ上でファイルレスのWebシェルを注入する。