F5 BIG-IP APM Malware Injects a PHP Web Shell Into Memory, Evading Disk Scans

Menace persistante : F5 BIG-IP APM et l’injection de web shells en mémoire

Des chercheurs ont identifié un malware ciblant les appliances F5 BIG-IP APM, capable d’injecter un web shell PHP directement dans la mémoire vive. Cette technique permet de contourner les analyses de fichiers classiques, car le code malveillant n’existe pas sous forme de fichier persistant sur le disque.

Points clés :

• Mécanisme d’infection : Le malware infecte le processus Apache (/usr/sbin/httpd) en modifiant ses fonctions en mémoire au moment du chargement du module PHP.
• Dissimulation : Le web shell est injecté dynamiquement dans les scripts apm_css.php3, full_wt.php3 et webtop_popup_css.php3 au moment où ils sont chargés en mémoire.
• Persistance : L’installateur infecte également des binaires système comme umount pour se propager et désactiver SELinux, rendant la détection complexe même après une mise à jour.

Vulnérabilité exploitée :

• CVE-2025-53521 : Initialement classée comme déni de service, cette faille est désormais identifiée comme une vulnérabilité d’exécution de code à distance (RCE) critique, avec un score CVSS de 9.8.

Recommandations :

• Vérification de l’intégrité : Utiliser l’outil intégré sys-eicheck ; tout échec de ce test est un indicateur de compromission.
• Analyse approfondie : Générer un rapport qkview et l’envoyer au support F5 pour une analyse spécifique.
• Surveillance comportementale : Rechercher des anomalies telles que l’exécution de /bin/bash par Apache, la présence de sockets suspects (/run/bigtlog.pipe) ou des réponses HTTP 201 avec un type de contenu CSS.
• Réponse sur incident : Si une compromission est suspectée, l’isolation et la réinstallation complète de l’appliance sont recommandées, car le simple déploiement d’un correctif pourrait ne pas supprimer un malware ayant déjà modifié les composants système.

Source