Kampanye multi-stage ini menunjukkan threat actor memanfaatkan internet-facing F5 BIG-IP Virtual Edition yang sudah EOL sebagai initial access ke jaringan enterprise; Microsoft Defender Security Research mempublikasikannya pada 22 Mei 2026. (microsoft.com) Dari foothold tersebut, attacker melakukan pivot ke Linux host internal, mengeksploitasi Confluence internal, lalu menyalahgunakan kredensial dan CVE-2025-33073 untuk menarget Active Directory. Severity: High

Attacker mengompromikan F5 BIG-IP internet-facing, memakai akun privileged untuk SSH ke Linux host, melakukan recon dengan Nmap/gowitness, mengeksploitasi Confluence internal via RCE, mencuri kredensial dari file konfigurasi, lalu melakukan NTLM/Kerberos relay dan abuse CVE-2025-33073 ke arah domain controller.

F5 BIG-IP Virtual Edition di Azure versi 15.1.201000/branch 15.x yang sudah EOL, Linux server internal yang dapat diakses via SSH, Atlassian Confluence internal yang belum di-patch, serta Windows Server/Active Directory/domain controller yang terekspos relay attack dan CVE-2025-33073.

1. Upgrade atau ganti segera F5 BIG-IP 15.x/EOL, patch edge appliance, dan batasi management-plane hanya ke IP tepercaya.
2. Patch Confluence dan aplikasi internal lain dengan prioritas setara layanan internet-facing, serta monitor indikasi RCE dan akses SSH anomali.
3. Lakukan identity hardening: minimalkan/nonaktifkan NTLM bila memungkinkan, aktifkan SMB signing, LDAP signing/channel binding, dan Extended Protection for Authentication (EPA).
4. Aktifkan EDR/real-time protection secara konsisten pada Linux server, dan hunt IOC seperti koneksi ke 206.189.27[.]39 atau login SSH yang berasal dari perangkat F5. 
         Referensi: https://cybersecuritynews.com/f5-big-ip-exploited-for-ssh-access/. (cybersecuritynews.com)